--- title: "Apa Itu DNSSEC dan Perlukah Diaktifkan di Domain?" description: "DNSSEC melindungi domain dari jawaban DNS palsu. Cara kerjanya, langkah mengaktifkan lewat registrar atau Cloudflare, dan jebakan saat ganti nameserver." url: "https://nivelva.com/insight/dnssec-perlu-diaktifkan" category: "Keamanan/Cyber Security" tags: ["dnssec","keamanan dns","ds record","dns spoofing","nameserver"] author: "Theresia Candiawan" published: "2026-11-07T00:10:00+07:00" updated: "2026-11-07T00:10:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Apa Itu DNSSEC dan Perlukah Diaktifkan di Domain? > **Jawaban singkat:** DNSSEC menambahkan tanda tangan digital pada record DNS sehingga resolver bisa menolak jawaban palsu. Layak diaktifkan untuk domain bisnis, asalkan DS record di registrar selalu cocok dengan kunci di penyedia DNS, terutama saat berpindah nameserver. Bagaimana HP pelanggan tahu bahwa alamat IP yang diterimanya untuk domainmu memang asli? Tanpa DNSSEC, ia tidak bisa memastikannya. DNS klasik menerima jawaban apa pun yang terlihat cocok. DNSSEC (DNS Security Extensions) menutup celah itu dengan tanda tangan digital pada record DNS. Resolver yang memvalidasi DNSSEC akan menolak jawaban yang tanda tangannya tidak sah. Untuk domain bisnis, terutama yang dipakai untuk email dan transaksi, DNSSEC layak diaktifkan. Syaratnya satu: kamu paham cara kerjanya, karena salah konfigurasi bisa membuat domain tidak bisa diakses sama sekali. ## Risiko apa yang ditangani DNSSEC? Serangan yang dicegah DNSSEC disebut DNS spoofing atau cache poisoning. Penyerang berusaha membuat resolver (misalnya milik penyedia internet) menyimpan jawaban palsu, sehingga `tokomu.co.id` mengarah ke server penyerang. Pengunjung mengetik alamat yang benar, tetapi tiba di tempat yang salah, dan email bisa dibelokkan. Perlu dicatat apa yang **tidak** dilakukan DNSSEC. Ia tidak mengenkripsi kueri DNS (itu tugas DNS over HTTPS atau DNS over TLS), tidak melindungi akun registrar yang dibobol, dan tidak menggantikan SSL di website. DNSSEC menjamin keaslian dan keutuhan jawaban DNS, bukan kerahasiaannya. ## Bagaimana DNSSEC bekerja? Penyedia DNS (yang memegang nameserver domainmu) menandatangani zona dengan pasangan kunci. Setiap kumpulan record mendapat tanda tangan berupa record **RRSIG**, dan kunci publiknya diterbitkan sebagai record **DNSKEY**. Masalahnya, siapa yang menjamin bahwa DNSKEY itu asli? Di sinilah **DS record** (Delegation Signer) berperan. DS berisi sidik jari kunci zonamu dan dipasang di zona induk, yaitu registri ekstensi domain (misalnya registri .id atau .com), melalui registrar. Registri sendiri ditandatangani oleh zona root. Hasilnya adalah rantai kepercayaan dari root, ke ekstensi, sampai ke domainmu. Karena DS ada di registrar dan DNSKEY ada di penyedia DNS, keduanya harus selalu cocok. Hampir semua masalah DNSSEC berawal dari dua hal ini tidak sinkron. ## Langkah mengaktifkan DNSSEC Urutannya sama, siapa pun penyedianya: tanda tangani zona dulu, baru pasang DS. ### Langkah 1: Pastikan semua pihak mendukung Cek tiga hal: penyedia DNS-mu mendukung penandatanganan DNSSEC, registrar menyediakan menu untuk memasukkan DS record, dan ekstensi domainmu mendukung DNSSEC. Bila registrar sekaligus penyedia DNS, sering kali cukup satu tombol. ### Langkah 2: Aktifkan penandatanganan di penyedia DNS Di Cloudflare, menu DNSSEC ada di halaman DNS Settings domain. Setelah kamu menekan Enable DNSSEC, Cloudflare menampilkan nilai DS record yang harus dipasang di registrar, dan nilai itu bisa dilihat lagi nanti lewat kartu DNSSEC. Penyedia DNS lain biasanya punya menu serupa, kadang di panel hosting atau panel registrar. ### Langkah 3: Pasang DS record di registrar Masuk ke panel registrar, cari menu DNSSEC atau DS record, lalu isi nilainya persis seperti yang diberikan penyedia DNS. Bila domain didaftarkan lewat Cloudflare Registrar, menurut dokumentasi Cloudflare DS record dikirim otomatis, dan prosesnya bisa memakan satu sampai dua hari. ### Langkah 4: Tunggu, lalu verifikasi Perubahan di registri perlu waktu untuk tampil. Setelah itu, cek dengan alat publik seperti DNSViz atau pemeriksa DNSSEC milik Verisign, atau lewat terminal: ``` dig DS domainmu.com +short dig domainmu.com +dnssec ``` Bila validasinya benar, resolver yang memvalidasi akan menandai jawabannya sebagai terautentikasi (flag `ad` pada keluaran `dig` lewat resolver yang memvalidasi). ### Langkah 5: Catat siapa memegang apa Tulis di dokumentasi internal: penyedia DNS mana yang menandatangani zona, dan di registrar mana DS dipasang. Catatan ini menyelamatkan kamu saat migrasi setahun kemudian. ## Jebakan saat berpindah nameserver Ini kasus paling umum. Domain dengan DNSSEC aktif dipindah ke penyedia DNS baru. Nameserver baru tidak punya kunci yang cocok dengan DS lama di registri. Resolver yang memvalidasi menganggap jawaban dari nameserver baru palsu dan mengembalikan error (SERVFAIL). Bagi pengguna, website dan email "mati", padahal record-nya benar. Urutan aman saat pindah penyedia DNS: 1. Hapus DS record di registrar (atau matikan DNSSEC lewat registrar). 2. Tunggu sampai TTL record DS lama habis. Cek dengan `dig DS domainmu.com`: lanjutkan setelah DS tidak lagi muncul. 3. Pastikan semua record sudah tersalin, lalu pindahkan nameserver ke penyedia baru. 4. Tunggu TTL record NS lama habis. 5. Aktifkan DNSSEC di penyedia baru, lalu pasang DS yang baru di registrar. Cloudflare, misalnya, juga menyediakan migrasi tanpa mematikan DNSSEC (multi-signer DNSSEC), dengan syarat penyedia lama mengizinkan penambahan record DNSKEY eksternal. Cara ini lebih rumit dan perlu dukungan kedua pihak. Untuk sebagian besar bisnis, urutan di atas lebih aman. Hal yang sama berlaku saat **transfer domain** ke registrar lain. Pastikan DS ikut pindah atau dihapus dengan sengaja, bukan tertinggal tanpa kunci yang cocok. Persiapan transfer lainnya ada di [cara transfer domain](https://nivelva.com/insight/transfer-domain). ## Ringkasan: perlu atau tidak? | Situasi | Saran | |:--|:--| | Domain bisnis utama, dipakai website dan email | Aktifkan, dokumentasikan konfigurasinya | | DNS dan registrar di satu penyedia yang mendukung DNSSEC otomatis | Aktifkan, risikonya rendah | | Akan pindah penyedia DNS dalam waktu dekat | Tunda sampai migrasi selesai | | Tidak ada yang paham siapa memegang DNS domain | Rapikan akses dulu, baru aktifkan | | Domain cadangan yang tidak dipakai | Opsional | DNSSEC melengkapi lapisan lain, bukan menggantikannya. Untuk email, yang tetap wajib adalah [SPF, DKIM, dan DMARC](https://nivelva.com/insight/spf-dkim-dmarc). Dasar record DNS dibahas di [apa itu DNS](https://nivelva.com/insight/apa-itu-dns). ## Pertanyaan yang sering diajukan ### Apakah DNSSEC membuat website lebih lambat? Jawaban DNS menjadi lebih besar karena membawa tanda tangan, tetapi bagi pengunjung biasanya tidak terasa. Hasil kueri juga disimpan sementara (cache) oleh resolver. ### Apa beda DNSSEC dengan DNS over HTTPS? DNS over HTTPS mengenkripsi kueri antara perangkat dan resolver agar tidak diintip. DNSSEC memastikan isi jawaban DNS asli. Keduanya saling melengkapi. ### Website saya tiba-tiba tidak bisa dibuka setelah ganti nameserver, apakah karena DNSSEC? Bisa jadi, bila DS lama masih terpasang di registrar. Cek dengan `dig DS domainmu.com +short`. Bila masih ada DS padahal penyedia baru belum menandatangani zona, hapus DS tersebut di registrar. ### Apakah DNSSEC mencegah domain dibajak lewat akun registrar? Tidak. Bila akun registrar dibobol, penyerang bisa mengganti nameserver dan DS sekaligus. Lindungi akun registrar dengan password kuat, autentikasi dua faktor, dan kunci transfer domain. Checklist singkat: - Penyedia DNS sudah menandatangani zona. - DS record di registrar sama persis dengan nilai dari penyedia DNS. - Validasi lolos di DNSViz atau `dig`. - Dokumentasi internal mencatat penyedia DNS dan registrar. - Tim tahu urutan aman sebelum ganti nameserver: hapus DS dulu. ## Sumber - - - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/dnssec-perlu-diaktifkan Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com