Die verschwindet dann für Resolver, die das DNSSEC validieren, bis DNSSEC wieder funktioniert. Und das passiert nicht von allein. Deswegen würde ich nicht raten, DNSSEC zu aktivieren bei wichtigen Domains. Falls DNSSEC bei einer bei netcup registrierten Domain aus welchen Gründen auch immer gewünscht oder notwendig ist, sollte man andere Nameserver benutzen, z.B. deSEC.
DNSSEC Fehler: The TTL of the RRset (180) exceeds the value of the Original TTL field of the RRSIG RR covering it (0).
-
nagmat84 -
14. November 2023 um 20:26 -
Erledigt
-
-
Auch interessant: Deaktiviert man DNSSEC, fliegt die Domain komplett weg und ist nicht mehr auflösbar. Eh?
-
Auch interessant: Deaktiviert man DNSSEC, fliegt die Domain komplett weg und ist nicht mehr auflösbar. Eh?
Es dauert ein wenig, bis die entsprechenden Änderungen bei den NS der TLD ankommen und alle Caches ungültig werden. Bis dahin glauben die Resolver bzw. Clients, dass DNSSEC aktiv ist, bekommen aber keine signierten Antworten mehr von den netcup NS und brechen deswegen ab.
Nach spätestens 24h sollte es wieder funktionieren, meistens geht es aber deutlich schneller innerhalb von 1-4 Stunden.
-
der Signingkey wurde nicht aktualisiert
wann oder bei welcher Gelegenheit wird der aktualisiert?
-
So ein Key hat ne begrenzte Lebenszeit und muss dann erneuert werden, damit die Signaturkette erhalten bleibt. Das sollte dann eigentlich automagisch passieren. Damals hat das scheinbar nicht funktioniert.
-
Eine Zeit hatte ich DNSSEC auch aktiviert, aber nachdem mir das bei einer .io Domain mal auf die Nase geflogen ist (Über die auch meine Mails liefen) und der netcup Support den Support vom .io Registrar anhauen musste, lass ich meine Finger davon.
Ich weiß nicht mehr was da alles kaputt ging/war, aber irgendwas war es einmal so richtig.
-
Heyo, ich wollte Mal fragen ob es Infos gibt, wann das ganze in die Produktionssystem ausgerollt wird? Die Beta läuft ja schon einige Zeit.
-
Da sich jetzt bei mir auch DNSSEC verabschiedet hat, wollte ich mich hier mal nach einem aktuellen Stand erkundigen. Kann man das Problem jetzt aussitzen oder muss ich mir einen Plan B überlegen. Für meinen Mail-Server hätte ich schon ganz gerne DNSSEC.
-
Bei mir funktioniert DNSSEC seit gestern plötzlich auch nicht mehr. Domain ist daher aktuell nicht ausflösbar.
-
Hallo,
uns hat es jetzt schon zum zweiten Mal erwischt. Das erste Mal ist im November 2025 eine Website aufgrund des aktivierten DNSSEC plötzlich nicht mehr erreichbar gewesen. Heute ist das Problem bei einer anderen Domain aufgetreten - die Website ist schon den ganzen Tag nicht mehr erreichbar.
DNS-Einstellungen haben wir an diesen Websites schon seit vielen Monaten nicht mehr vorgenommen, es geschieht also plötzlich und unerwartet.
Wir können nur davon abraten, DNSSEC bei Webhosting- oder Webhosting-Reseller-Paketen zu aktivieren.
Der Support hat bis jetzt immer langsam und unzufriedenstellend reagiert und entsprechende Ticket-Mails scheinen erst nach einigen Tagen über mehrere Stationen bei den richtigen Personen zu landen.
Es ist tröstlich zu lesen, dass es vielen von euch auch so geht. Unbegreiflich ist allerdings, wieso Netcup diese Probleme jahrelang nicht in den Griff bekommt und es nicht ernst zu nehmen scheint, wenn Kundenwebsites tagelang nicht erreichbar sind. Dann wäre es doch besser, wenn Netcup DNSSEC gar nicht (oder nur mit einer danebenstehenden Warnung) anbieten würde oder zumindest einen Workaround in Form eines Textes oder eines Videos veröffentlichen würde, damit wir vorgewarnt wären und im Notfall selbst reagieren könnten.
Von den Spam-Problemen und den E-Mail-Bounces ganz zu schweigen... aber das ist ein anderes Thema.
Sehr schade und frustrierend! -
Hallo zusammen,
ja, uns ist da bewusst, dass das derzeit nicht wie erwartet immer klappt.
Wir sind mit Hochdruck dran die DNSSEC Themen ein für alle mal zu fixen. Bitte gebt uns noch ein wenig Zeit.
LG Alex
Hallo Alex, inzwischen sind ca. 2.5 Jahre vergangen. Ist das genug "ein wenig Zeit"? Wann kann endlich damit gerechnet werden, dass Netcup als Hoster es hinbekommt, DNSSEC sauber anzubieten? Ich glaube, 99% der User die das verwenden, haben einfach einen stinknormalen eMail-Server und wollen DANE oder ähnliches verwenden. Da braucht es keine 100% corner-case-Abdeckung. Wäre schön hier mal was von der Geschäftsleitung zu hören, anstatt den Kunden einfach still und heimlich DNSSEC auszuschalten.
-
