# DANE / DNSSEC signatures : valid or not valid?

**URL:** <https://www.debian-fr.org/t/dane-dnssec-signatures-valid-or-not-valid/86932>\
**Category:** Support Debian\
**Tags:** securité, dns\
**Created:** [Août 10, 2022, 3:01 UTC](https://www.debian-fr.org/t/dane-dnssec-signatures-valid-or-not-valid/86932 "2022-08-10T15:01:39Z")\
**Posts on this page:** 1\
**Showing post:** 32

<div class="post-metadata">

**Author:** ![anon36725218](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/8e8cbc/32.png) [@anon36725218](https://www.debian-fr.org/u/anon36725218)\
**Post date:** [Décembre 5, 2022, 3:38 UTC](https://www.debian-fr.org/t/dane-dnssec-signatures-valid-or-not-valid/86932/32 "2022-12-05T15:38:07Z")

</div>

Bonjour,

> [@anon36725218](#):
>
> Je me disais que je vais devoir créer un script pour mettre à jour les RR (Ressource Records) TLSA par `nsupdate` juste après les MàJ (Mises à Jour) des certificats.

Pour DANE (DNS based Authentication of Named Entities) et la ressource record TLSA ( Transport Layer Security Authentication), **comment puis-je récupérer la date d’expiration des certificats de [Let’s Encrypt](https://letsencrypt.org) sans interroger le certificat local**?

Je pense à [DoHjs](https://dohjs.org/), mais je ne vois pas comment «&nbsp;injecter&nbsp;» une demande sans API (cliente) autorisée (moi, un de mes serveurs) - ll faut activé de l’option avancée, «&nbsp;envoyer le DNSSEC OK (bit DO)&nbsp;».

En envoyant depuis le formulaire [DoHjs](https://dohjs.org/) qui me retourne bien un «&nbsp;JSON object data&nbsp;» avec :

```
"questions": [
        {
            "name": "_443._tcp.zw3b.eu",
            "type": "TLSA",
            "class": "IN"
        }
    ],
"answers": [
        {
            "name": "_443._tcp.zw3b.eu",
            "type": "TLSA",
            "ttl": 3600,
            "class": "IN",
            "flush": false,
        },
        {
            "name": "_443._tcp.zw3b.eu",
            "type": "RRSIG",
            "ttl": 3600,
            "class": "IN",
            "flush": false,
            "data": {
                "typeCovered": "TLSA",
                "algorithm": 8,
                "labels": 4,
                "originalTTL": 3600,
                "expiration": 1672840023,
                "inception": 1670244423,
                "keyTag": 45480,
                "signersName": "zw3b.eu",
                "signature": "Di...fw"
            }
        }
    ],
    .....

```

Je vois bien un timestamp «&nbsp;inception&nbsp;» et «&nbsp;expiration&nbsp;» mais comment puis-je récupérer cette valeur depuis un script ?

Qui correspond à l’inception et l’expiration du certificat SSL → cooL 🙂 → [DoHjs](https://dohjs.org/) y arrive (CF résultat du dessus).

```
16:55:50 root@dc.w3a:~ $ echo 'TLSA Date Inception' : $(date '+%F %T' -d '@1670244423')
TLSA Date Inception : 2022-12-05 13:47:03
16:55:57 root@dc.w3a:~ $ echo 'TLSA Date Expiration' : $(date '+%F %T' -d '@1672840023')
TLSA Date Expiration : 2023-01-04 14:47:03

```

Qui a/aurait une autre solution (Full Linux) pour que je puisse mettre à jour mes RR TLSA à la mise à jour des certificats SSL/TLS que Let’s Encrypt me re-génére tous les 3 mois par NSUPDATE histoire d’être toujours valide DANE ?

Bon, je vais installer la librairie JS [GitHub DoHjs](https://github.com/byu-imaal/dohjs) quelque part - exemple [HTML](https://github.com/byu-imaal/dohjs/blob/master/examples/basic/resolver.html), [BIN](https://github.com/byu-imaal/dohjs/blob/master/bin/doh.js) 😃

Par [OpenSSL](https://www.openssl.org/) est-ce possible - ou - sur une base publique de [Let’s Encrypt](https://letsencrypt.org) ?

Merci.

J’ajoute l’imprime écran du certificat :

[![zw3b_eu-letsencrypt](https://www.debian-fr.org/uploads/default/original/2X/b/b5a000596b4d65cbbc34c572607dacaefdedc025.png)](https://www.debian-fr.org/uploads/default/original/2X/b/b5a000596b4d65cbbc34c572607dacaefdedc025.png)

Validité :  
Pas avant : Thu, 01 Dec 2022 14:33:48 GMT  
Pas après : Wed, 01 Mar 2023 14:33:47 GMT

Ce ne sont pas les même minutes/secondes 🤣 🤨

Salutations.

Romain

---

_[View the full topic](https://www.debian-fr.org/t/dane-dnssec-signatures-valid-or-not-valid/86932)._