---
id: "624cdceb-3fde-414f-bf4b-39dfd64f4c5a"
kind: "link"
title: "Le .pk du Pakistan adopte la signature de zone DNSSEC, mais un seul domaine est validé"
language: "fr"
section: "cctld"
date: "2026-10-20T17:27:21Z"
updated: "2026-10-20T17:27:21Z"
canonical: "https://tldlog.com/fr/l/pk-pakistan-adopte-signature-zone-dnssec-seul-domaine-est/"
origin: "reviewed"
master: "https://tldlog.com/l/pakistans-pk-now-carries-dnssec-signing-only-one-domain/"
translations:
  en: "https://tldlog.com/l/pakistans-pk-now-carries-dnssec-signing-only-one-domain/"
  es: "https://tldlog.com/es/l/pakistan-activa-firma-zona-pk-solo-dominio-valida/"
  de: "https://tldlog.com/de/l/pakistans-pk-erhaelt-dnssec-signierung-aber-nur-domain/"
  it: "https://tldlog.com/it/l/pk-ora-ha-firma-zona-dnssec-solo-dominio-validato/"
  pt-BR: "https://tldlog.com/pt/l/zona-pk-paquistao-agora-tem-assinatura-zona-so-dominio/"
  ru: "https://tldlog.com/ru/l/zona-pk-pakistane-poluchila-podpisanie-zony-proverku/"
  zh-Hans: "https://tldlog.com/zh/l/bajisitan-pk-qiyong-dnssec-qianming/"
source:
  name: "circleid.com"
  url: "https://circleid.com/posts/pakistans-.pk-is-now-dnssec-signed-but-only-one-domain-validates"
  language: "en"
  date: "2026-10-20T15:23:00Z"
---

# Le .pk du Pakistan adopte la signature de zone DNSSEC, mais un seul domaine est validé

## en clair

Le DNSSEC est un système de sécurité qui permet aux ordinateurs de vérifier qu’une adresse de site mène au bon endroit. L’extension .pk du Pakistan l’utilise désormais au niveau le plus haut. Mais une analyse montre qu’un seul domaine sous .pk l’a mis en place entièrement.

La zone .pk, qui regroupe les domaines en code pays du Pakistan, ne disposait pas de DNSSEC début octobre 2026. Elle n'avait pas d'enregistrement DS dans la racine ni de preuve signée lorsqu'un nom était absent. Six jours plus tard, la chaîne de confiance depuis la racine jusqu'à .pk a été validée : la zone avait donc rejoint la partie signée de l'espace de noms.

La signature de la zone de premier niveau n'est que la première étape. Une analyse de 158 561 domaines .pk, réalisée le 11 octobre, soit deux jours après l'apparition de l'enregistrement DS dans la racine, n'a trouvé qu'un seul domaine validé de bout en bout. Il s'agit de newspak.pk. 1 230 autres domaines ont signé leurs propres zones mais attendent un enregistrement DS que la zone .pk ne contient pas encore. Aucun des quelque 1 360 noms sous gov.pk et les suffixes gouvernementaux provinciaux n'est entièrement signé.

La chronologie peut être reconstituée à partir de sources publiques. DNSViz indiquait .pk comme non sécurisé tout au long de septembre. Les premières signatures de la zone .pk datent du 8 octobre, environ un jour avant la mise à jour de la racine. À 22 h 20 UTC le 9 octobre, DNSViz a classé .pk comme sécurisé, et l'enregistrement IANA de .pk indique une dernière mise à jour le même jour. La zone utilise l'algorithme 13 (ECDSA P-256 avec SHA-256) et NSEC et NSEC3 sans itération supplémentaire ni sel vide, conformément à la RFC 9276.

L'analyse a vérifié deux parties de chaque chaîne. Elle a interrogé l'enregistrement DS présent dans la zone .pk et l'enregistrement DNSKEY présent dans la zone propre au domaine. Un domaine n'était compté comme entièrement signé que si la chaîne complète, de la racine à .pk puis au domaine, était validée. Les 1 230 domaines qui signent leurs zones sans DS dans la zone parente sont considérés comme non signés par les résolveurs, car la zone .pk renvoie une preuve signée de l'absence de DS. Ils incluent accenture.pk et nexlinx.net.pk.

Le reste de l'analyse a relevé 117 572 noms (74 %) non signés, 25 875 noms qui n'existent plus et 13 883 noms qui n'ont pu être classés, leurs serveurs de noms étant injoignables ou ayant expiré.

L'écart entre la signature de zone et la publication de son enregistrement DS n'est pas nouveau. Une étude USENIX Security de 2017 portant sur .com, .net et .org a montré qu'environ 30 % des domaines signés n'avaient pas de DS dans la zone parente. La signature de zone et l'envoi du DS à la zone parente sont deux tâches distinctes, confiées à des acteurs différents : le titulaire du nom ou le fournisseur DNS génère les clés de signature. Dans le cas de .pk, des noms comme com.pk, org.pk, edu.pk et gov.pk font partie de la zone .pk elle-même, de sorte que tous les enregistrements DS de ces noms seraient publiés par une seule organisation.

Source: [circleid.com](https://circleid.com/posts/pakistans-.pk-is-now-dnssec-signed-but-only-one-domain-validates)