Pour activer DNSSEC chez OVH, tout dépend de qui héberge vos DNS. Si votre domaine utilise les serveurs DNS d'OVHcloud, un bouton dans le cadre « Sécurité » de la fiche du domaine suffit, et l'activation prend environ 24 heures. Si vos DNS sont ailleurs (Cloudflare, o2switch, un serveur à vous), vous activez DNSSEC chez cet hébergeur DNS puis vous saisissez sa clé dans l'onglet « DS Records » de l'espace client OVHcloud. Dans les deux cas, vérifiez ensuite le résultat avec dig.
Ce guide est spécifique à OVHcloud. Pour le fonctionnement général et les autres registrars, voir notre guide pratique pour activer DNSSEC selon votre registrar.
Avant de commencer : identifiez votre cas
DNSSEC repose sur deux acteurs. L'hébergeur DNS signe la zone (enregistrements DNSKEY et RRSIG). Le registrar publie dans la zone parente (.fr, .com…) un enregistrement DS qui pointe vers la clé. OVHcloud peut jouer un rôle, l'autre ou les deux. Commencez par vérifier vos serveurs DNS :
dig +short NS votre-domaine.fr
Selon la documentation d'OVHcloud, votre domaine utilise les DNS OVHcloud si les serveurs se terminent par ovh.net (sauf snds2.ovh.net), ovh.ca ou anycast.me. Vous pouvez aussi le voir dans l'onglet « Serveurs DNS » de la fiche du domaine.
| Cas | Domaine enregistré chez | DNS hébergés chez | Où agir |
|---|
| 1 | OVHcloud | OVHcloud | Un bouton dans l'espace client OVHcloud |
| 2 | OVHcloud | Externe (Cloudflare, o2switch…) | Activation chez l'hébergeur DNS, puis onglet « DS Records » chez OVHcloud |
| 3 | Autre registrar | OVHcloud | Paramètres récupérés via l'API OVHcloud, puis saisie chez votre registrar |
Cas 1 : domaine et DNS chez OVHcloud
C'est le cas le plus simple. OVHcloud signe la zone, gère les clés et publie le DS auprès du registre.
- Dans l'espace client, ouvrez Web Cloud > Noms de domaine et sélectionnez le domaine.
- Sur la page d'informations générales, repérez le cadre Sécurité et la mention « Délégation sécurisée - DNSSEC ». Son état indique si DNSSEC est déjà actif.
- Cliquez sur le bouton d'activation placé au-dessus de cette mention, puis validez dans la fenêtre qui s'ouvre.
OVHcloud indique un délai de 24 heures pour que l'activation soit effective. Il n'y a rien d'autre à saisir.
Cas 2 : domaine chez OVHcloud, DNS ailleurs
Ici, OVHcloud ne signe rien. Votre hébergeur DNS signe la zone, et OVHcloud se contente de transmettre la clé au registre.
Étape 1 : activer DNSSEC chez l'hébergeur DNS
Activez DNSSEC dans l'interface de votre hébergeur DNS et notez les quatre paramètres qu'OVHcloud demande : Key Tag, Flag, Algorithme et Clé publique (encodée en base64). Attention : OVHcloud demande la clé publique (DNSKEY), pas le condensat (digest) du DS que la plupart des hébergeurs affichent en premier.
Chez Cloudflare, ces valeurs apparaissent dans la fenêtre « DS record » de la carte DNSSEC. Cloudflare utilise l'algorithme 13 (ECDSA Curve P-256 with SHA-256). Le Flag de la clé de signature de clés est 257.
Étape 2 : saisir la clé chez OVHcloud
- Ouvrez la fiche du domaine dans Noms de domaine.
- Cliquez sur l'onglet « DS Records ». Il n'apparaît que si le domaine utilise des serveurs DNS externes.
- Cliquez sur Ajouter, remplissez les champs Key Tag, Flag, Algorithme et Clé publique, puis cliquez sur Valider.
Vous pouvez récupérer la clé publique vous-même pour la comparer avec ce que vous allez saisir :
dig +short DNSKEY votre-domaine.fr @ns-de-votre-hebergeur
256 3 13 oJMRESz5E4gYzS/q6XDrvU1qMPYIjCWzJaOau8XNEZeqCYKD5ar0IRd8...
257 3 13 mdsswUyr3DPW132mOi8V9xESWE8jTo0dxCjjnopKl+GqJxpVXckHAeF+...
La ligne qui commence par 257 est la clé de signature de clés (KSK), celle à transmettre. La ligne 256 est la clé de signature de zone, à ne pas utiliser ici. Le chiffre suivant (3) est le protocole, toujours 3. Le troisième (13) est l'algorithme. La suite est la clé publique.
Cas 3 : domaine ailleurs, DNS chez OVHcloud
Moins courant, ce cas passe par l'API. La documentation d'OVHcloud précise qu'il faut d'abord s'assurer auprès du registrar actuel qu'aucune option DNSSEC n'y est déjà active.
- Ouvrez la console API (
api.eu.ovhcloud.com pour l'Europe) et authentifiez-vous.
- Appelez
POST /domain/zone/{zoneName}/dnssec avec votre domaine comme zoneName.
- OVHcloud envoie, quelques minutes plus tard, un email à l'adresse de contact de la zone avec les quatre paramètres. Vérifiez vos courriers indésirables.
- Transmettez ces paramètres à votre registrar pour qu'il publie le DS.
Vérifier que DNSSEC fonctionne
Attendez le délai annoncé, puis faites trois contrôles.
1. Le DS est publié dans la zone parente
dig +short DS votre-domaine.fr
30098 13 2 DEA3DF8F5147EF21A6BC35F497BE6369DAD5C988CA6895317D1FE1FD FD24DB1D
Une réponse vide signifie que le registre n'a pas encore le DS, ou que l'activation n'a pas abouti.
2. La zone est signée
dig +dnssec votre-domaine.fr A
La réponse doit contenir un enregistrement RRSIG à côté de l'enregistrement A.
3. Un résolveur validant authentifie la réponse
dig @1.1.1.1 votre-domaine.fr A
;; flags: qr rd ra ad; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1
Le drapeau ad (authenticated data) confirme que la chaîne de confiance est valide. Si vous obtenez status: SERVFAIL, la chaîne est cassée : voir SERVFAIL après activation de DNSSEC : diagnostiquer et corriger. Pour un contrôle sans terminal, notre DNS Lookup affiche les enregistrements DS et DNSKEY. DNSViz (dnsviz.net) dessine la chaîne complète.
Changer de serveurs DNS avec DNSSEC actif
C'est là que la plupart des pannes arrivent. Si vous passez des DNS OVHcloud à Cloudflare (ou l'inverse) sans toucher au DS, le registre continue d'annoncer l'ancienne clé. Les résolveurs validants rejettent alors la nouvelle zone et votre domaine ne répond plus pour une grande partie des internautes.
La documentation d'OVHcloud est explicite : la modification des serveurs DNS ne prend effet côté OVHcloud qu'après la désactivation de DNSSEC (24 heures), puis il faut compter 24 à 48 heures de propagation. Au total, 48 à 72 heures. L'ordre sûr :
- Désactivez DNSSEC chez OVHcloud (cas 1) ou supprimez le DS dans l'onglet « DS Records » (cas 2).
- Vérifiez que
dig +short DS votre-domaine.fr ne renvoie plus rien, puis attendez l'expiration du TTL du DS. Nous avons mesuré 3 600 secondes (1 heure) sur la zone .fr et 86 400 secondes (24 heures) sur la zone .com.
- Changez les serveurs DNS.
- Une fois la nouvelle zone stable, réactivez DNSSEC selon le nouveau cas.
Notre guide pour migrer ses DNS d'OVH vers Cloudflare sans coupure reprend la migration complète.
Erreurs fréquentes chez OVHcloud
- L'onglet « DS Records » n'apparaît pas : le domaine utilise encore les DNS OVHcloud. Dans ce cas, utilisez le bouton du cadre Sécurité.
- Digest saisi à la place de la clé publique : OVHcloud attend la DNSKEY en base64, pas le condensat SHA-256.
- Clé de zone (Flag 256) saisie au lieu de la clé de signature de clés (Flag 257) : la chaîne ne se valide pas.
- Extension non compatible : OVHcloud indique que l'extension doit prendre en charge DNSSEC. Si l'option n'apparaît pas, vérifiez ce point.
- DS laissé en place après un changement d'hébergeur DNS : SERVFAIL garanti chez les résolveurs validants.
Surveiller DNSSEC dans la durée
DNSSEC se casse rarement tout seul. Il se casse lors d'un changement : migration DNS, transfert de domaine, prestataire qui modifie la zone. Domains Defender surveille la configuration du domaine, dont DNSSEC et le verrou de transfert, et vous alerte si elle se dégrade ou si un enregistrement NS change. Voir les plans.
Questions fréquentes
DNSSEC est-il payant chez OVH ?
La documentation d'OVHcloud ne mentionne pas de frais pour l'activation de DNSSEC sur un nom de domaine : il s'agit d'une option à activer depuis la fiche du domaine.
OVH me demande une carte bancaire pour une commande à 0 € : est-ce normal ?
OVHcloud fait passer certaines options gratuites par son tunnel de commande habituel, qui peut demander un moyen de paiement même quand le total est de 0 €. Vérifiez que le bon de commande affiche bien 0 € et qu'il concerne votre domaine, puis validez. Si un montant apparaît, arrêtez-vous : DNSSEC lui-même n'est pas une option payante.
Comment désactiver DNSSEC chez OVH ?
Si vos DNS sont chez OVHcloud, utilisez le même bouton du cadre Sécurité (mention « Délégation sécurisée - DNSSEC ») pour le désactiver : comptez 24 heures. Si vos DNS sont ailleurs, supprimez la clé dans l'onglet « DS Records » avant de désactiver la signature chez votre hébergeur DNS, jamais l'inverse. Vérifiez avec dig +short DS votre-domaine.fr que plus rien n'est publié.
DNSSEC est-il disponible pour toutes les extensions chez OVH ?
Non, l'extension doit prendre en charge DNSSEC : c'est le cas des courantes (.fr, .com, .eu, .be…). Si le cadre Sécurité ne propose pas l'option, l'extension ou la configuration actuelle des DNS est en cause.
Combien de temps prend l'activation de DNSSEC chez OVH ?
OVHcloud annonce 24 heures pour que l'activation ou la désactivation soit effective. Le DS doit ensuite être visible dans la zone parente : vérifiez avec dig +short DS votre-domaine.fr.
Faut-il désactiver DNSSEC avant de changer de DNS chez OVH ?
Oui. OVHcloud n'applique le changement de serveurs DNS qu'après la désactivation de DNSSEC. Comptez 48 à 72 heures au total. Réactivez DNSSEC une fois la nouvelle zone en place.
Mon domaine est chez OVH mais mes DNS chez Cloudflare : qui active DNSSEC ?
Les deux. Vous activez DNSSEC dans Cloudflare, qui signe la zone, puis vous recopiez Key Tag, Flag (257), Algorithme (13) et Clé publique dans l'onglet « DS Records » d'OVHcloud.