DNSSECの信頼の連鎖を確認するためのテストページです。
「検証ツールへ」をクリックすると、「DNSSEC委任状態検証ツール」の画面に遷移します。
各表の「信頼の連鎖の確認 (+不在証明の検証)」列はゾーンの頂点となるドメイン名（ゾーン頂点にAレコードが存在しない場合はNODATA不在証明も検証）、「www名に対する総合検証」列は先頭に "www." を付けたドメイン名を対象としています。Aレコードの署名破損を確認するドメインは、別表にまとめています。
NSEC/NSEC3による否定応答の仕組みは、DNSSECの否定応答を理解するをご覧ください。
※ 表中の「期待される総合判定」は、検証ツール等で検証した場合の最終的な判定結果を示しています。
※ 各アルゴリズム見出し（RSASHA256、ED25519等）は子ゾーンのDNSKEYやAレコード等の署名アルゴリズムを指しています。親ゾーン（.jp）のDS RRset署名（RRSIG）アルゴリズムを指すものではありません。
ドメイン名に含まれる主なラベルと検証内容は次のとおりです。
| ドメイン名のラベル | 検証内容 |
|---|---|
success |
DNSSECの検証が成功する正常系です。 |
keytag.ds.errorhash.ds.error |
親ゾーンのDSと子ゾーンのDNSKEYが、それぞれKey TagまたはDigestで一致しないケースです。 |
sign.ds.errorsign.dnskey.errorexpire.dnskey.error |
それぞれ親DS RRset署名の破損、子DNSKEY RRset署名の破損、子DNSKEY RRset署名の期限切れです。 |
corrupted.sign.a.error |
A RRsetの署名（RRSIG）を破損したケースです。 |
missing.cover.mismatch |
NSEC/NSEC3の範囲が不在名をカバーせず、不在証明が成立しないケースです。 |
target.type.mismatchtarget.type.mx.mismatchtarget.type.txt.mismatch |
NSEC/NSEC3の型ビットマップと実際の応答が一致せず、NODATA不在証明が不整合になるケースです。mx / txt は問い合わせ型を表します。 |
unsigned.optout.mismatch |
DSのない未署名委任 unsigned に対するOpt-OutのDS不在証明が成立しないケースです。 |
iter0 / iter1nosalt / saltA1B2 |
NSEC3のハッシュ計算に使う反復回数とsalt設定です。 |
| 期待される総合判定 | パターン | 信頼の連鎖の確認 (+不在証明の検証) | www名に対する総合検証 |
|---|---|---|---|
| 成功 | DNSSEC総合検証成功 | 検証ツールへ success.rsasha256.dnssec-check.jp |
検証ツールへ www.success.rsasha256.dnssec-check.jp |
| 失敗 | 親DSのKey Tagと子DNSKEYのKey Tagが不一致 | 検証ツールへ keytag.ds.error.rsasha256.dnssec-check.jp |
検証ツールへ www.keytag.ds.error.rsasha256.dnssec-check.jp |
| 失敗 | 親DSのDigestと子DNSKEYから計算したDigestが不一致 | 検証ツールへ hash.ds.error.rsasha256.dnssec-check.jp |
検証ツールへ www.hash.ds.error.rsasha256.dnssec-check.jp |
| 失敗 | 親ゾーンのDS RRset署名（RRSIG）破損 | 検証ツールへ sign.ds.error.rsasha256.dnssec-check.jp |
検証ツールへ www.sign.ds.error.rsasha256.dnssec-check.jp |
| 失敗 | DNSKEY RRset署名（RRSIG）破損 | 検証ツールへ sign.dnskey.error.rsasha256.dnssec-check.jp |
検証ツールへ www.sign.dnskey.error.rsasha256.dnssec-check.jp |
| 失敗 | DNSKEY RRsetのRRSIG期限切れ | 検証ツールへ expire.dnskey.error.rsasha256.dnssec-check.jp |
検証ツールへ www.expire.dnskey.error.rsasha256.dnssec-check.jp |
| 期待される総合判定 | パターン | 信頼の連鎖の確認 (+不在証明の検証) | www名に対する総合検証 |
|---|---|---|---|
| 成功 | DNSSEC総合検証成功 | 検証ツールへ success.ecdsap256sha256.dnssec-check.jp |
検証ツールへ www.success.ecdsap256sha256.dnssec-check.jp |
| 失敗 | 親DSのKey Tagと子DNSKEYのKey Tagが不一致 | 検証ツールへ keytag.ds.error.ecdsap256sha256.dnssec-check.jp |
検証ツールへ www.keytag.ds.error.ecdsap256sha256.dnssec-check.jp |
| 失敗 | 親DSのDigestと子DNSKEYから計算したDigestが不一致 | 検証ツールへ hash.ds.error.ecdsap256sha256.dnssec-check.jp |
検証ツールへ www.hash.ds.error.ecdsap256sha256.dnssec-check.jp |
| 失敗 | 親ゾーンのDS RRset署名（RRSIG）破損 | 検証ツールへ sign.ds.error.ecdsap256sha256.dnssec-check.jp |
検証ツールへ www.sign.ds.error.ecdsap256sha256.dnssec-check.jp |
| 失敗 | DNSKEY RRset署名（RRSIG）破損 | 検証ツールへ sign.dnskey.error.ecdsap256sha256.dnssec-check.jp |
検証ツールへ www.sign.dnskey.error.ecdsap256sha256.dnssec-check.jp |
| 失敗 | DNSKEY RRsetのRRSIG期限切れ | 検証ツールへ expire.dnskey.error.ecdsap256sha256.dnssec-check.jp |
検証ツールへ www.expire.dnskey.error.ecdsap256sha256.dnssec-check.jp |
| 期待される総合判定 | パターン | 信頼の連鎖の確認 (+不在証明の検証) | www名に対する総合検証 |
|---|---|---|---|
| 成功 | DNSSEC総合検証成功 | 検証ツールへ success.ed25519.dnssec-check.jp |
検証ツールへ www.success.ed25519.dnssec-check.jp |
| 失敗 | 親DSのKey Tagと子DNSKEYのKey Tagが不一致 | 検証ツールへ keytag.ds.error.ed25519.dnssec-check.jp |
検証ツールへ www.keytag.ds.error.ed25519.dnssec-check.jp |
| 失敗 | 親DSのDigestと子DNSKEYから計算したDigestが不一致 | 検証ツールへ hash.ds.error.ed25519.dnssec-check.jp |
検証ツールへ www.hash.ds.error.ed25519.dnssec-check.jp |
| 失敗 | 親ゾーンのDS RRset署名（RRSIG）破損 | 検証ツールへ sign.ds.error.ed25519.dnssec-check.jp |
検証ツールへ www.sign.ds.error.ed25519.dnssec-check.jp |
| 失敗 | DNSKEY RRset署名（RRSIG）破損 | 検証ツールへ sign.dnskey.error.ed25519.dnssec-check.jp |
検証ツールへ www.sign.dnskey.error.ed25519.dnssec-check.jp |
| 失敗 | DNSKEY RRsetのRRSIG期限切れ | 検証ツールへ expire.dnskey.error.ed25519.dnssec-check.jp |
検証ツールへ www.expire.dnskey.error.ed25519.dnssec-check.jp |
| 期待される総合判定 | パターン | 信頼の連鎖の確認 (+不在証明の検証) | www名に対する総合検証 |
|---|---|---|---|
| 成功 | DNSSEC総合検証成功 | 検証ツールへ success.ed448.dnssec-check.jp |
検証ツールへ www.success.ed448.dnssec-check.jp |
| 失敗 | 親DSのKey Tagと子DNSKEYのKey Tagが不一致 | 検証ツールへ keytag.ds.error.ed448.dnssec-check.jp |
検証ツールへ www.keytag.ds.error.ed448.dnssec-check.jp |
| 失敗 | 親DSのDigestと子DNSKEYから計算したDigestが不一致 | 検証ツールへ hash.ds.error.ed448.dnssec-check.jp |
検証ツールへ www.hash.ds.error.ed448.dnssec-check.jp |
| 失敗 | 親ゾーンのDS RRset署名（RRSIG）破損 | 検証ツールへ sign.ds.error.ed448.dnssec-check.jp |
検証ツールへ www.sign.ds.error.ed448.dnssec-check.jp |
| 失敗 | DNSKEY RRset署名（RRSIG）破損 | 検証ツールへ sign.dnskey.error.ed448.dnssec-check.jp |
検証ツールへ www.sign.dnskey.error.ed448.dnssec-check.jp |
| 失敗 | DNSKEY RRsetのRRSIG期限切れ | 検証ツールへ expire.dnskey.error.ed448.dnssec-check.jp |
検証ツールへ www.expire.dnskey.error.ed448.dnssec-check.jp |
corrupted.sign.a.error.<アルゴリズム> は、対象名の A RRset を覆うRRSIGの署名値を破損したケースです。信頼の連鎖やDNSKEY署名ではなく、Aレコード自体の署名検証を確認します。
| 期待される総合判定 | アルゴリズム | パターン | 検証用ドメイン名 |
|---|---|---|---|
| 失敗 | RSASHA256 | A RRset署名（RRSIG）破損 | 検証ツールへ corrupted.sign.a.error.rsasha256.dnssec-check.jp |
| 失敗 | ECDSAP256SHA256 | A RRset署名（RRSIG）破損 | 検証ツールへ corrupted.sign.a.error.ecdsap256sha256.dnssec-check.jp |
| 失敗 | ED25519 | A RRset署名（RRSIG）破損 | 検証ツールへ corrupted.sign.a.error.ed25519.dnssec-check.jp |
| 失敗 | ED448 | A RRset署名（RRSIG）破損 | 検証ツールへ corrupted.sign.a.error.ed448.dnssec-check.jp |
以下では NSEC と NSEC3 について確認することができます。これらは RSASHA256 のドメインで確認します。
| 期待される総合判定 | パターン | 検証用ドメイン名 |
|---|---|---|
| 失敗 | NXDOMAINの不在証明のカバー不成立 (不在名を覆うNSECの Next Domain Name をその不在名に変更。範囲の終端は含まれないためカバーが成立しない) | 検証ツールへ missing.cover.mismatch.nsec.rsasha256.dnssec-check.jp |
| 失敗 | NODATA不在証明の不整合 (AAAAだけを持つ名前へのA問い合わせ。実際の応答はNODATAだが、NSECの型ビットマップに存在しない A を追加) | 検証ツールへ target.type.mismatch.nsec.rsasha256.dnssec-check.jp |
| 失敗 | NODATA不在証明の不整合 (AAAAだけを持つ名前へのMX問い合わせ。実際の応答はNODATAだが、NSECの型ビットマップに存在しない MX を追加) | 検証ツールへ target.type.mx.mismatch.nsec.rsasha256.dnssec-check.jp |
| 失敗 | NODATA不在証明の不整合 (AAAAだけを持つ名前へのTXT問い合わせ。実際の応答はNODATAだが、NSECの型ビットマップに存在しない TXT を追加) | 検証ツールへ target.type.txt.mismatch.nsec.rsasha256.dnssec-check.jp |
| 期待される総合判定 | パターン | 検証用ドメイン名 |
|---|---|---|
| 失敗 | NODATA不在証明の不整合 (AAAAだけを持つ名前へのMX問い合わせ。実際の応答はNODATAだが、NSEC3の型ビットマップに存在しない MX を追加) | 検証ツールへ target.type.mx.mismatch.nsec3.rsasha256.dnssec-check.jp |
| 失敗 | NODATA不在証明の不整合 (AAAAだけを持つ名前へのTXT問い合わせ。実際の応答はNODATAだが、NSEC3の型ビットマップに存在しない TXT を追加) | 検証ツールへ target.type.txt.mismatch.nsec3.rsasha256.dnssec-check.jp |
| 失敗 | NXDOMAINのNSEC3不在証明のカバー不成立 (反復回数0、saltなし。不在名のハッシュを Next Hashed Owner Name に設定するため、範囲の終端が含まれずカバーが成立しない) | 検証ツールへ missing.cover.mismatch.nsec3.iter0.nosalt.rsasha256.dnssec-check.jp |
| 失敗 | NODATA不在証明の不整合 (反復回数0、saltなし。AAAAだけを持つ名前へのA問い合わせで、NSEC3の型ビットマップに存在しない A を追加) | 検証ツールへ target.type.mismatch.nsec3.iter0.nosalt.rsasha256.dnssec-check.jp |
| 失敗 | Opt-OutのDS不在証明のカバー不成立 (反復回数0、saltなし。未署名委任 unsigned のハッシュを Next に設定し、終端を含まない範囲にする。署名自体は有効) |
検証ツールへ unsigned.optout.mismatch.nsec3.iter0.nosalt.rsasha256.dnssec-check.jp |
| 失敗 | NXDOMAINのNSEC3不在証明のカバー不成立 (反復回数0、salt A1B2。不在名のハッシュを Next Hashed Owner Name に設定し、範囲の終端を含めない) | 検証ツールへ missing.cover.mismatch.nsec3.iter0.saltA1B2.rsasha256.dnssec-check.jp |
| 失敗 | NODATA不在証明の不整合 (反復回数0、salt A1B2。AAAAだけを持つ名前へのA問い合わせで、型ビットマップに存在しない A を追加) | 検証ツールへ target.type.mismatch.nsec3.iter0.saltA1B2.rsasha256.dnssec-check.jp |
| 失敗 | Opt-OutのDS不在証明のカバー不成立 (反復回数0、salt A1B2。未署名委任 unsigned のハッシュを Next に設定し、終端を含まない範囲にする。署名自体は有効) |
検証ツールへ unsigned.optout.mismatch.nsec3.iter0.saltA1B2.rsasha256.dnssec-check.jp |
| 失敗 | NXDOMAINのNSEC3不在証明のカバー不成立 (反復回数1、saltなし。不在名のハッシュを Next Hashed Owner Name に設定し、範囲の終端を含めない) | 検証ツールへ missing.cover.mismatch.nsec3.iter1.nosalt.rsasha256.dnssec-check.jp |
| 失敗 | NODATA不在証明の不整合 (反復回数1、saltなし。AAAAだけを持つ名前へのA問い合わせで、型ビットマップに存在しない A を追加) | 検証ツールへ target.type.mismatch.nsec3.iter1.nosalt.rsasha256.dnssec-check.jp |
| 失敗 | Opt-OutのDS不在証明のカバー不成立 (反復回数1、saltなし。未署名委任 unsigned のハッシュを Next に設定し、終端を含まない範囲にする。署名自体は有効) |
検証ツールへ unsigned.optout.mismatch.nsec3.iter1.nosalt.rsasha256.dnssec-check.jp |
| 失敗 | NXDOMAINのNSEC3不在証明のカバー不成立 (反復回数1、salt A1B2。不在名のハッシュを Next Hashed Owner Name に設定し、範囲の終端を含めない) | 検証ツールへ missing.cover.mismatch.nsec3.iter1.saltA1B2.rsasha256.dnssec-check.jp |
| 失敗 | NODATA不在証明の不整合 (反復回数1、salt A1B2。AAAAだけを持つ名前へのA問い合わせで、型ビットマップに存在しない A を追加) | 検証ツールへ target.type.mismatch.nsec3.iter1.saltA1B2.rsasha256.dnssec-check.jp |
| 失敗 | Opt-OutのDS不在証明のカバー不成立 (反復回数1、salt A1B2。未署名委任 unsigned のハッシュを Next に設定し、終端を含まない範囲にする。署名自体は有効) |
検証ツールへ unsigned.optout.mismatch.nsec3.iter1.saltA1B2.rsasha256.dnssec-check.jp |