[{"data":1,"prerenderedAt":237},["ShallowReactive",2],{"seo-verification":3,"blog-تفعيل-dnssec-نطاق-العميل-سجل-ds-registrar-ar":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-تفعيل-dnssec-نطاق-العميل-سجل-ds-registrar-ar",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":30,"intro":33,"sections":34,"ctaTitle":183,"ctaBody":184,"ctaButton":185,"ctaUrl":186,"relatedPosts":187},529,"تفعيل-dnssec-نطاق-العميل-سجل-ds-registrar",{"fr":12,"en":13,"ar":10,"es":14},"activer-dnssec-domaine-client-registrar","enable-dnssec-client-domain-registrar-ds","activar-dnssec-dominio-cliente-registrador-ds","تفعيل DNSSEC لنطاق عميل دون سجل DS يتيم","فعّل DNSSEC بالترتيب الصحيح: توقيع المنطقة، ونشر DS لدى المسجّل، والتحقق بـ dig وdelv، وتغيير مزوّد DNS دون DS يتيم.",11,0,false,"2026-10-29T00:00:00+00:00","2026-10-29T15:45:55+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},8,"الأمان والمراقبة","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Factiver-dnssec-domaine-client-registrar-poster.svg","يتطلب تفعيل DNSSEC لنطاق عميل خطوتين: توقيع المنطقة لدى مشغّل DNS، ثم نشر سجل DS لدى المسجّل. يكمن الخطر في الترتيب وفي طريق العودة: فسجل DS الذي لم يعد يطابق أي مفتاح منشور يجعل النطاق غير قابل للوصول لدى المحللات المُدقِّقة، بينما يواصل الاستجابة في أماكن أخرى. يقدّم هذا الدليل التسلسل، وأوامر التحقق مع مخرجاتها الفعلية، وإجراء تغيير مزوّد DNS دون ترك DS يتيم، وما تفعله ServOrbit.com وما لا تفعله.",[35,39,42,67,102,105,115,118,139,142,173,177,180],{"type":36,"title":37,"body":38},"h2","لماذا خطأ DS انقطاع للخدمة وليس ثغرة","يعتمد DNSSEC على سلسلة ثقة: تنشر المنطقة الأم (مثل منطقة الامتداد) سجل DS هو بصمة مفتاح توقيع منطقة العميل، وتقارن المحللات المُدقِّقة هذه البصمة بالمفاتيح التي تنشرها المنطقة فعلاً. فإذا لم تعد البصمة تطابق أي مفتاح، لا يستطيع المحلل إثبات صحة الردود فيرفض الإجابة، ويتلقى المستخدم رد SERVFAIL.\n\nوهذا ما يجعل الخطأ خادعاً. يواصل النطاق الاستجابة عند محلل لا يدقّق، فيبدو اختبار سريع من جهاز أو شبكة شركة سليماً، بينما لا يستطيع المستخدمون خلف محلل عام مُدقِّق حل أي اسم. DS اليتيم لا يخفض الأمان، بل يقطع النطاق. ويهدف بقية الدليل إلى عدم صنع واحد منها أبداً، وإلى معرفة كيفية الخروج منه.",{"type":36,"title":40,"body":41},"من يفعل ماذا: مشغّل DNS والمسجّل والسجل","يتدخل ثلاثة أطراف، والخلط بينها يسبب معظم الحوادث. يستضيف مشغّل DNS المنطقة ويملك المفاتيح: فهو يوقّع وينشر سجلات DNSKEY وRRSIG. والمسجّل هو الواجهة التجارية التي يدير فيها المالك اسمه، وينقل سجل DS إلى السجل. أما السجل فيدير المنطقة الأم وينشر DS.\n\nلذلك لا يُنشأ DS لدى المسجّل وحده أبداً: إنه ينسخ معلومة ينتجها مشغّل DNS. فإذا كان النطاق مسجلاً لدى مسجّل بينما تشير خوادم الأسماء إلى مشغّل آخر، يُطلب التوقيع من مشغّل DNS ويُدخل DS لدى المسجّل. يُفترض هنا أن التعريف العام لـ DNSSEC ودوره ضد تسميم الذاكرة المؤقتة معروف؛ أما المقال عن تغيير المفتاح الجذر في 11 أكتوبر 2026 من جهة المحلل فيعالج الطرف الآخر من السلسلة.",{"type":43,"title":44,"steps":45},"steps","تفعيل DNSSEC بالترتيب الصحيح",[46,49,52,55,58,61,64],{"title":47,"body":48},"التأكد من أن الامتداد والمسجّل يقبلان DS","قبل لمس المنطقة، تأكد من أن المسجّل يوفّر حقل DS لهذا الامتداد وأن السجل يقبل الخوارزمية المقررة. لا تقبل كل السجلات كل الخوارزميات: قائمة الامتداد هي المعتمدة وليست قائمة مشغّل DNS. وبعض الامتدادات لا توفّر DNSSEC إطلاقاً بحكم قاعدة السجل.",{"title":50,"body":51},"كتابة خطة التراجع قبل البدء","دوّن الحالة الراهنة: خوادم الأسماء، وقيم TTL للمنطقة، وغياب DS. التقطها بالأمرين `dig NS your-domain.com +short` و`dig DS your-domain.com +short`. واكتب أيضاً من يستطيع حذف DS لدى المسجّل وعبر أي قناة إذا حدثت مشكلة. التراجع الذي يعتمد على شخص لا يمكن بلوغه ليس تراجعاً.",{"title":53,"body":54},"توقيع المنطقة لدى مشغّل DNS","فعّل التوقيع في واجهة المشغّل، أو بأدواته إن كنت تدير الخادم بنفسك. يولّد المشغّل مفتاح توقيع المفاتيح (KSK) ومفتاح توقيع المنطقة (ZSK) ثم ينشر سجلات DNSKEY وRRSIG. في هذه المرحلة لا يتغير شيء بالنسبة إلى المحللات: فبدون DS في المنطقة الأم تكون المنطقة موقّعة لكنها غير مُدقَّق فيها، فلا خطر.",{"title":56,"body":57},"انتظار انتشار DNSKEY والتوقيعات","تحتفظ المحللات بالردود القديمة في الذاكرة المؤقتة حتى ينتهي TTL. انتظر على الأقل أطول TTL في المنطقة قبل المتابعة، وتحقق من أن `dig +dnssec your-domain.com DNSKEY` يعيد المفاتيح وتوقيعها من كل خادم أسماء.",{"title":59,"body":60},"استخراج معاملات DS","يزوّدك مشغّل DNS بأربع قيم: معرّف المفتاح key tag، والخوارزمية، ونوع الملخّص، والبصمة. تأكد من أنها تطابق مفتاح KSK المنشور (قيمة flags تساوي 257) واختر ملخّص SHA-256 من النوع 2. انسخها والصقها بدل كتابتها يدوياً: حرف واحد خاطئ ينتج DS يتيماً.",{"title":62,"body":63},"نشر DS لدى المسجّل","أدخل القيم الأربع في حقل DS لدى المسجّل. ينشر السجل بعدها DS في المنطقة الأم بمهلة خاصة بالامتداد. وما دامت هذه المهلة لم تنقضِ، ترى بعض المحللات الحالة القديمة: لا تستنتج إلا بعد التحقق.",{"title":65,"body":66},"التحقق من السلسلة من البداية إلى النهاية","استعلم من خادم المنطقة الأم، ثم من محلل مُدقِّق، ثم بـ `delv` كما يفصّل القسم التالي. أبقِ خطة التراجع مفتوحة حتى تنجح الفحوص الثلاثة من محللين عامين مُدقِّقين مختلفين على الأقل.",{"type":68,"title":69,"headers":70,"rows":74},"comparison","الخوارزميات والملخّصات: ما تفرضه RFC 8624",[71,72,73],"المعامل","القيمة","الحالة في RFC 8624",[75,79,83,87,91,95,98],[76,77,78],"توقيع ECDSAP256SHA256","13","MUST، الخيار الشائع",[80,81,82],"توقيع RSASHA256","8","MUST",[84,85,86],"توقيع ED25519","15","RECOMMENDED",[88,89,90],"توقيع ED448 وECDSAP384SHA384","16 و14","MAY",[92,93,94],"توقيعات RSASHA1 ومتغيراتها","5 و7 و10","NOT RECOMMENDED",[96,97,82],"ملخّص DS: SHA-256","2",[99,100,101],"ملخّص DS: SHA-1 وGOST","1 و3","MUST NOT للتفويض",{"type":36,"title":103,"body":104},"التحقق بـ dig وdelv مع مخرجات فعلية","تكفي أربعة فحوص. الأول `dig +dnssec your-domain.com DNSKEY` يجب أن يعيد سجلَّي DNSKEY بالعلمين 256 (ZSK) و257 (KSK) مع RRSIG. والثاني `dig DS your-domain.com @\u003Cparent server>` يستعلم مباشرة من المنطقة الأم ويجب أن يعيد سطراً بالصيغة `\u003Ckey tag> \u003Calgorithm> \u003Cdigest type> \u003Cdigest>`، مثل `2371 13 2 \u003Cdigest>` (قيم توضيحية): يجب أن يكون key tag هو معرّف مفتاح KSK الذي ينشره المشغّل.\n\nالثالث `dig +dnssec your-domain.com A @1.1.1.1` يجب أن يُظهر العلم `ad` (authenticated data) في سطر flags، مثل `flags: qr rd ra ad`. والرابع `delv your-domain.com A @1.1.1.1` يجب أن يطبع `; fully validated` قبل الجواب. ويبدو الفشل هكذا: يعيد `dig` القيمة `status: SERVFAIL`، وغالباً مع EDE 9 DNSKEY Missing، ويفيد `delv` بـ `resolution failed`.",{"type":106,"title":107,"items":108},"ul","ما قد يعيقك لدى المسجّل أو السجل",[109,110,111,112,113,114],"**لا حقل DS** — لا يوفّر المسجّل الإدخال لهذا الامتداد، أو يوفّره عبر تذكرة فقط: اسأل قبل توقيع المنطقة.","**خوارزمية مرفوضة** — يقبل السجل جزءاً فقط من خوارزميات RFC 8624؛ اقرأ قائمة الامتداد لا قائمة مشغّل DNS.","**ملخّص محدود** — بعض النماذج تقبل SHA-256 فقط؛ وهو الخيار الصحيح، لكن يجب معرفة ذلك قبل توليد DS.","**مهلة النشر** — لا تُحدَّث المنطقة الأم لحظياً؛ وتختلف المهلة باختلاف الامتداد، فلا تختبر مبكراً.","**امتداد بلا DNSSEC** — بعض الامتدادات لا توفّر الميزة؛ يبقى النطاق صالحاً لكن لا يمكن توقيعه.","**تحقق يدوي** — يمر الطلب عبر تذكرة لدى المسجّل أو جهة اتصال، فيطول التراجع: أدرج ذلك في الخطة.",{"type":36,"title":116,"body":117},"تغيير مزوّد DNS دون ترك DS يتيم","هذه الحالة هي الأكثر تسبباً في الانقطاعات. يبقى DS لدى المسجّل بينما تتغير خوادم الأسماء: فإذا لم يوقّع المشغّل الجديد، أو وقّع بمفاتيح أخرى، لا يطابق DS القديم أي شيء وتردّ المحللات المُدقِّقة بـ SERVFAIL. ويحدث الحادث نفسه عند ترحيل منطقة مع الإبقاء على DS القديم.\n\nتميّز RFC 6781 بين حالتين بحسب تعاون المشغّل القديم. إذا تعاون، يتبادل المشغّلان مفاتيحهما العامة وينشران المجموعتين أثناء التحويل، فلا تمر فترة غير موقّعة. وإذا لم يتعاون، تخلص RFC إلى أن العملية الوحيدة الممكنة هي ترك المنطقة تصبح غير موقّعة: حذف DS، وتغيير خوادم الأسماء، ثم إدخال DS يشير إلى المنطقة الموقّعة حديثاً. وعند الشك، طبّق النسخة الحذرة أدناه، فهي تصلح للحالتين.",{"type":43,"title":119,"steps":120},"إجراء حذر لتغيير مزوّد DNS",[121,124,127,130,133,136],{"title":122,"body":123},"تجهيز المنطقة لدى المشغّل الجديد","أعد إنشاء كل السجلات دون توقيع ودون تغيير خوادم الأسماء. قارن المنطقتين سجلاً بسجل، مثلاً بـ `dig @\u003Cold server> your-domain.com MX +short` ثم `dig @\u003Cnew server> your-domain.com MX +short`، وكذلك للسجلين A وTXT.",{"title":125,"body":126},"تدوين TTL الخاص بـ DS","استعلم بـ `dig DS your-domain.com @\u003Cparent server>` ودوّن قيمة TTL المعروضة: إنها المدة التي قد تظل فيها المحللات تصدّق DS القديم.",{"title":128,"body":129},"حذف DS لدى المسجّل","اطلب حذف DS ثم تأكد من اختفائه بالأمر نفسه على خادم المنطقة الأم. تصبح المنطقة غير موقّعة بالنسبة إلى المحللات، وهي حالة صالحة لا تسبب انقطاعاً.",{"title":131,"body":132},"انتظار انتهاء TTL الخاص بـ DS","انتظر على الأقل المدة المدوّنة قبل لمس خوادم الأسماء. إن سحب المفاتيح قبل انقضاء DS من الذاكرة المؤقتة يعيد صنع DS اليتيم الذي تحاول تفاديه.",{"title":134,"body":135},"تغيير خوادم الأسماء","عدّل سجلات NS لدى المسجّل. تحقق من التحويل بـ `dig NS your-domain.com @\u003Cparent server>` ثم اختبر الحل من محلل مُدقِّق. ويفصّل الدليل الخاص بتغيير خوادم الأسماء العملية في فضاء العميل.",{"title":137,"body":138},"التوقيع لدى المشغّل الجديد ثم إعادة نشر DS","فعّل التوقيع، وانتظر انتشار DNSKEY، واستخرج المعاملات الجديدة وانشر DS كما في التفعيل الأولي. واختم بفحوص dig وdelv الأربعة.",{"type":36,"title":140,"body":141},"تدوير المفاتيح وسجلات CDS وCDNSKEY","عمليتا صيانة متشابهتان لكن أثرهما لدى المسجّل مختلف. لا يتطلب تدوير ZSK أي إجراء لدى المسجّل، لأن DS لا يغطي إلا KSK. أما تدوير KSK فيستلزم DS جديداً: تصف RFC 6781 طريقة التوقيع المزدوج في أربع مراحل، مع انتظار TTL الخاص بـ DS على الأقل قبل سحب المفتاح القديم. وعند تغيير الخوارزمية، تطلب RFC نفسها سحب DS من المنطقة الأم أولاً، ثم DNSKEY والتوقيعات.\n\nولتفادي الإدخال اليدوي، تعرّف RFC 7344 سجلَّي CDS وCDNSKEY: ينشر مشغّل DNS في المنطقة سجل DS المطلوب ويمكن لوكيل المنطقة الأم أن يستهلكه بعد التحقق عبر DNSSEC. وتضيف RFC 8078 الحذف عبر `CDS 0 0 0 0` أو `CDNSKEY 0 3 0 0`. ويبقى أن السجل أو المسجّل هو من يقرر استهلاكها، وأن دعمها يتوقف على الامتداد. وفي 13 أكتوبر 2026 فتحت ICANN مشاورة عامة حول تقييم الأمن والاستقرار لأتمتة DS، مفتوحة حتى 23 نوفمبر 2026. ولا يذكر الإعلان CDS ولا CDNSKEY: فالأتمتة غير معتمدة ولا وشيكة في هذه المرحلة.",{"type":68,"title":143,"headers":144,"rows":148},"الأعراض والأسباب والحلول",[145,146,147],"العرض","السبب المحتمل","الحل",[149,153,157,161,165,169],[150,151,152],"SERVFAIL عند 1.1.1.1 أو 8.8.8.8 وجواب عادي في غيرهما","DS يتيم أو مفتاح غائب عن المنطقة","سحب DS وانتظار TTL ثم نشر DS صحيح",[154,155,156],"`EDE: 9 (DNSKEY Missing)` في مخرجات dig","لا يطابق أي DNSKEY سجل DS","مقارنة key tag الخاص بـ DS مع KSK المنشور",[158,159,160],"يجيب `delv` بـ `resolution failed`","سلسلة الثقة مقطوعة","الاختبار بـ `dig +cd` للتأكد من أن المنطقة تجيب دون تدقيق",[162,163,164],"لا علم `ad` ولا خطأ","محلل لا يدقّق أو DS لم يُنشر بعد","الاستعلام من محلل آخر وانتظار مهلة السجل",[166,167,168],"انقطاع بعد تغيير خوادم الأسماء","مشغّل جديد غير موقّع مع بقاء DS القديم","اتباع الإجراء الحذر بدءاً بسحب DS",[170,171,172],"توقيعات منتهية الصلاحية","توقف التوقيع التلقائي لدى المشغّل","إعادة تشغيل التوقيع ومقارنة تواريخ RRSIG",{"type":174,"title":175,"body":176},"tip","خطة التراجع تُكتب قبل العملية لا أثناءها","دوّن كتابةً الحالة الأولية، والأمر الذي يثبت كل مرحلة، والشخص القادر على حذف DS عند الطوارئ. وعند الشك، يبقى المخرج الأقصر واحداً: حذف DS لدى المسجّل ثم انتظار TTL الخاص به. تعود المنطقة غير موقّعة لكنها قابلة للوصول، ثم يُشخَّص الأمر دون ضغط بـ `dig +cd`.",{"type":36,"title":178,"body":179},"ما تفعله ServOrbit.com وما لا تفعله","لا يُفعَّل DNSSEC ذاتياً من فضاء العميل. لطلبه، افتح تذكرة من فضاء العميل أو راسلنا على support@servorbit.com. ويتوقف الدعم على الامتداد وسجلّه، ولا سيما بالنسبة إلى نطاقات ‎.ma. ولا توقّع ServOrbit.com المناطق نيابةً عنك ولا تعرض حقل DS في فضاء العميل: يصف هذا الدليل الطريقة وليس ميزة تلقائية. أما DNS المُدار من Cloudflare، الوارد في دليل التفعيل الخاص به، فلا يُذكر هنا إلا في نقطة واحدة: تغيير خوادم الأسماء على نطاق موقّع أصلاً يعرّض لخطر DS اليتيم. ولإضافة السجلات أو تعديلها أثناء التحضير يبقى دليل سجلات DNS هو المرجع، ويغطي دليل النقل الصادر حالة تغيير المسجّل. دليل مقدَّم دون دعم مشمول.",{"type":36,"title":181,"body":182},"الوثائق الرسمية","RFC 6781، الممارسات التشغيلية لـ DNSSEC: https:\u002F\u002Fwww.rfc-editor.org\u002Frfc\u002Frfc6781.html\n\nRFC 8624، الخوارزميات والملخّصات: https:\u002F\u002Fwww.rfc-editor.org\u002Frfc\u002Frfc8624.html\n\nRFC 7344، سجلات CDS وCDNSKEY: https:\u002F\u002Fwww.rfc-editor.org\u002Frfc\u002Frfc7344.html\n\nRFC 8078، إدارة DS من جهة المنطقة الفرعية: https:\u002F\u002Fwww.rfc-editor.org\u002Frfc\u002Frfc8078.html\n\nمشاورة ICANN حول أتمتة DS: https:\u002F\u002Fwww.icann.org\u002Fen\u002Fannouncements\u002Fdetails\u002Ficann-seeks-input-on-security-stability-assessment-of-dnssec-ds-automation-13-10-2026-en\n\nتغيير KSK الجذر: https:\u002F\u002Fwww.icann.org\u002Fresources\u002Fpages\u002Fksk-rollover-en","النطاقات وDNS في مكان واحد","متابعة نطاقاتك وخوادم أسمائها واستضافتك من فضاء واحد تسهّل تحضير أي تغيير. ولطلب DNSSEC افتح تذكرة من فضاء العميل؛ ويتوقف الدعم على الامتداد.","إدارة نطاقاتي","\u002Fdomaines",[188,204,224],{"id":189,"slug":190,"slugs":191,"title":195,"excerpt":196,"readTime":197,"views":18,"isPinned":19,"publishedAt":198,"updatedAt":199,"category":200,"categories":201,"featuredImage":30,"bgImage":31,"posterImage":203,"relatedSolution":30},493,"تغيير-مفتاح-الجذر-dnssec-2026-فحص-المحلل",{"fr":192,"en":193,"ar":190,"es":194},"rollover-ksk-racine-dns-2026-dnssec-resolveurs","root-dnssec-ksk-rollover-2026-check-your-resolver","rollover-ksk-raiz-dnssec-2026-revisar-resolver","تغيير مفتاح الجذر في DNSSEC: افحص المحلل لديك","أصبح جذر DNS موقّعًا بالمفتاح KSK-2024 (key tag 38696). افحص مرساة الثقة في Unbound وBIND وKnot Resolver وsystemd-resolved وdnsmasq وصحّحها.",12,"2026-10-22T00:00:00+00:00","2026-10-23T13:27:02+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[202],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Frollover-ksk-racine-dns-2026-dnssec-resolveurs-poster.svg",{"id":205,"slug":206,"slugs":207,"title":211,"excerpt":212,"readTime":213,"views":214,"isPinned":19,"publishedAt":215,"updatedAt":216,"category":217,"categories":221,"featuredImage":30,"bgImage":31,"posterImage":223,"relatedSolution":30},449,"تغيير-خوادم-الأسماء-للنطاق",{"fr":208,"en":209,"ar":206,"es":210},"changer-serveurs-de-noms-domaine","change-domain-nameservers","cambiar-servidores-de-nombres-dominio","تغيير خوادم الأسماء لنطاقك","عدّل خوادم الأسماء (NS) لنطاق مسجّل لدى ServOrbit من مساحة العميل، دون قطع موقعك أو بريدك الإلكتروني.",2,1,"2026-10-16T00:00:00+00:00","2026-10-16T01:57:35+00:00",{"id":197,"name":218,"slug":219,"color":220,"icon":219},"أدلة","guides","bg-emerald-500\u002F10 text-emerald-400",[222],{"id":197,"name":218,"slug":219,"color":220,"icon":219},"\u002Fblog\u002Fcovers\u002Fchanger-serveurs-de-noms-domaine-poster.svg",{"id":225,"slug":226,"slugs":227,"title":231,"excerpt":232,"readTime":213,"views":214,"isPinned":19,"publishedAt":215,"updatedAt":216,"category":233,"categories":234,"featuredImage":30,"bgImage":31,"posterImage":236,"relatedSolution":30},446,"تفعيل-dns-المدار-cloudflare-على-النطاق",{"fr":228,"en":229,"ar":226,"es":230},"activer-dns-manage-cloudflare-domaine","activate-managed-cloudflare-dns-domain","activar-dns-gestionado-cloudflare-dominio","تفعيل DNS المُدار من Cloudflare على نطاقك","فعّل DNS المُدار (Cloudflare) لنطاقك من مساحة العميل: استيراد السجلات، وتفويض خوادم الأسماء، ثم التحقق من حالة المنطقة.",{"id":197,"name":218,"slug":219,"color":220,"icon":219},[235],{"id":197,"name":218,"slug":219,"color":220,"icon":219},"\u002Fblog\u002Fcovers\u002Factiver-dns-manage-cloudflare-domaine-poster.svg",1793289043880]