Affichage : 26 sur 26
Numéros d’algorithmes DNSKEY et RRSIG, avec les recommandations de la RFC 9904 pour la signature et la validation.
| Valeur | Mnémonique | Description | Références |
|---|---|---|---|
0 | DELETE | DELETE (algorithme DNSSEC 0) : Delete DS. Signature des zones : aucune indication ; validation : aucune indication. | RFC 4034RFC 4398RFC 8078 |
1 | RSAMD5 | RSAMD5 (algorithme DNSSEC 1) : RSA/MD5 (DEPRECATED, see 5). Signature des zones : NE DOIT PAS ; validation : NE DOIT PAS. | RFC 3110RFC 4034 |
2 | DH | DH (algorithme DNSSEC 2) : Diffie-Hellman. Signature des zones : aucune indication ; validation : aucune indication. | RFC 2539 |
3 | DSA | DSA (algorithme DNSSEC 3) : DSA/SHA1. Signature des zones : NE DOIT PAS ; validation : NE DOIT PAS. | RFC 3755RFC 2536Federal Information Processing Standards Publication (FIPS PUB) 186, Digital Signature Standard, 18 May 1994Federal Information Processing Standards Publication (FIPS PUB) 180-1, Secure Hash Standard, 17 April 1995. (Supersedes FIPS PUB 180 dated 11 May 1993.) |
5Note | RSASHA1 | RSASHA1 (algorithme DNSSEC 5) : RSA/SHA-1. Signature des zones : NE DOIT PAS ; validation : RECOMMANDÉ. | RFC 3110RFC 4034RFC 9905 |
6 | DSA-NSEC3-SHA1 | DSA-NSEC3-SHA1 (algorithme DNSSEC 6) : DSA-NSEC3-SHA1. Signature des zones : NE DOIT PAS ; validation : NE DOIT PAS. | RFC 5155 |
7 | RSASHA1-NSEC3-SHA1 | RSASHA1-NSEC3-SHA1 (algorithme DNSSEC 7) : RSASHA1-NSEC3-SHA1. Signature des zones : NE DOIT PAS ; validation : RECOMMANDÉ. | RFC 5155RFC 9905 |
8Note | RSASHA256 | RSASHA256 (algorithme DNSSEC 8) : RSA/SHA-256. Signature des zones : RECOMMANDÉ ; validation : RECOMMANDÉ. | RFC 5702 |
10 | RSASHA512 | RSASHA512 (algorithme DNSSEC 10) : RSA/SHA-512. Signature des zones : NON RECOMMANDÉ ; validation : RECOMMANDÉ. | RFC 5702 |
12 | ECC-GOST | ECC-GOST (algorithme DNSSEC 12) : GOST R 34.10-2001 (DEPRECATED). Signature des zones : NE DOIT PAS ; validation : NE DOIT PAS. | RFC 5933Change the status of GOST Signature Algorithms in DNSSEC in the IETF stream to HistoricRFC 9906 |
13Note | ECDSAP256SHA256 | ECDSAP256SHA256 (algorithme DNSSEC 13) : ECDSA Curve P-256 with SHA-256. Signature des zones : RECOMMANDÉ ; validation : RECOMMANDÉ. | RFC 6605 |
14 | ECDSAP384SHA384 | ECDSAP384SHA384 (algorithme DNSSEC 14) : ECDSA Curve P-384 with SHA-384. Signature des zones : PEUT ; validation : RECOMMANDÉ. | RFC 6605 |
15Note | ED25519 | ED25519 (algorithme DNSSEC 15) : Ed25519. Signature des zones : RECOMMANDÉ ; validation : RECOMMANDÉ. | RFC 8080 |
16 | ED448 | ED448 (algorithme DNSSEC 16) : Ed448. Signature des zones : PEUT ; validation : RECOMMANDÉ. | RFC 8080 |
17 | SM2SM3 | SM2SM3 (algorithme DNSSEC 17) : SM2 signing algorithm with SM3 hashing algorithm. Signature des zones : PEUT ; validation : PEUT. | RFC 9563 |
18 | MLDSA44 | MLDSA44 (algorithme DNSSEC 18) : ML-DSA-44. Signature des zones : PEUT ; validation : PEUT. | draft-westerbaan-dnssec-mldsa-03 |
23 | ECC-GOST12 | ECC-GOST12 (algorithme DNSSEC 23) : GOST R 34.10-2012. Signature des zones : PEUT ; validation : PEUT. | RFC 9558 |
252 | INDIRECT | INDIRECT (algorithme DNSSEC 252) : Reserved for Indirect Keys. Signature des zones : aucune indication ; validation : aucune indication. | RFC 4034 |
253 | PRIVATEDNS | PRIVATEDNS (algorithme DNSSEC 253) : private algorithm. Signature des zones : PEUT ; validation : PEUT. | RFC 4034 |
254 | PRIVATEOID | PRIVATEOID (algorithme DNSSEC 254) : private algorithm OID. Signature des zones : PEUT ; validation : PEUT. | RFC 4034 |
| Plage | Statut | Description |
|---|---|---|
| 4 | reserved | Reserved |
| 9 | reserved | Reserved |
| 11 | reserved | Reserved |
| 19–22 | unassigned | Unassigned |
| 24–122 | unassigned | Unassigned |
| 123–251 | reserved | Reserved |
| 255 | reserved | Reserved |
Source : DNSSEC algorithm numbers and DS digest types (IANA), récupérée le 2026-10-20. Licence des données : CC0-1.0. DNS Security Algorithm Numbers
Algorithme DNSSEC 5, RSA avec SHA-1 : « NE DOIT PAS » pour la signature, mais toujours validé.
Les consignes du registre classent RSA/SHA-1 « NE DOIT PAS » pour la signature en raison des faiblesses de SHA-1, tandis que les validateurs continuent de l’accepter pour que les zones encore signées ainsi ne deviennent pas invalides. Les zones encore en algorithme 5 ou 7 devraient passer à l’algorithme 13 ou 15 par un roulement d’algorithme.
Algorithme DNSSEC 8, RSA avec SHA-256, toujours l’algorithme DNSSEC le plus déployé.
De nombreux domaines de premier niveau et la zone racine signent avec l’algorithme 8. Les validateurs DOIVENT le prendre en charge ; pour les nouvelles zones, le registre recommande l’algorithme 13 (ou 15), dont les signatures bien plus petites gardent les réponses compactes.
Algorithme DNSSEC 13, ECDSA sur P-256 : l’algorithme recommandé pour signer les zones.
L’algorithme 13 (RFC 6605) produit des signatures et des clés de 64 octets, bien plus petites qu’avec RSA, ce qui maintient les réponses DNSSEC sous les seuils de fragmentation. Le registre IANA le classe « RECOMMANDÉ » pour la signature et « DOIT » pour la validation (la RFC 9904 a transféré ces consignes dans le registre).
Algorithme DNSSEC 15, Ed25519 (RFC 8080), recommandé pour la signature comme pour la validation.
Les signatures Ed25519 sont déterministes : aucun aléa par signature n’est donc nécessaire. La prise en charge par les validateurs a progressé lentement, c’est pourquoi l’algorithme 13 reste le choix le plus courant pour les nouvelles zones.
Algorithmes de condensat des enregistrements DS, avec les recommandations pour la délégation et la validation.
| Valeur | Hachage | Description | Références |
|---|---|---|---|
1 | SHA-1 | Le type de condensat DS 1 utilise SHA-1. Délégation : NE DOIT PAS ; validation : RECOMMANDÉ. | RFC 3658RFC 9905 |
2 | SHA-256 | Le type de condensat DS 2 utilise SHA-256. Délégation : RECOMMANDÉ ; validation : RECOMMANDÉ. | RFC 4509 |
3 | GOST R 34.11-94 | Le type de condensat DS 3 utilise GOST R 34.11-94. Délégation : NE DOIT PAS ; validation : NE DOIT PAS. | RFC 5933Change the status of GOST Signature Algorithms in DNSSEC in the IETF stream to HistoricRFC 9906 |
4 | SHA-384 | Le type de condensat DS 4 utilise SHA-384. Délégation : PEUT ; validation : RECOMMANDÉ. | RFC 6605 |
5 | Streebog-256 | Le type de condensat DS 5 utilise Streebog-256. Délégation : PEUT ; validation : PEUT. | RFC 9558 |
6 | SM3 | Le type de condensat DS 6 utilise SM3. Délégation : PEUT ; validation : PEUT. | RFC 9563 |
| Plage | Statut | Description |
|---|---|---|
| 0 | reserved | Reserved |
| 7–127 | unassigned | Unassigned |
| 128–252 | reserved | Reserved |
| 253–254 | private | Reserved for Private Use |
| 255 | unassigned | Unassigned |
Source : DNSSEC algorithm numbers and DS digest types (IANA), récupérée le 2026-10-20. Licence des données : CC0-1.0. Digest Algorithms (DS RR Type Digest Algorithms)