DNSSEC
通过数字签名机制为DNS应答提供完整性校验的安全扩展，使用RRSIG签名和信任链验证防止缓存投毒。
时间轴 (近 90 天)
DNSSEC 通过数字签名机制解决 DNS 的根本缺陷：传统 DNS 应答没有完整性校验，中间人可以伪造应答把用户引向恶意地址（缓存投毒）。启用 DNSSEC 后，区域会为每条记录生成 RRSIG 签名，解析器沿信任链验证签名，验证通过才会在应答头部设置 AD 标志。
DNSSEC 在真实部署中存在不少痛点：密钥轮换操作复杂、算法过期（如早期的 SHA-1 签名方案）、部分注册商与注册管理机构之间的 DS 记录同步延迟、老旧解析器不支持验证等，都会导致域名签了但不生效或被误判为不安全。
Cloudflare提醒DNS根区KSK计划于10月11日轮换，执行DNSSEC校验的解析器需在切换前信任新密钥
执行DNSSEC校验的递归解析器必须预先将新KSK加入信任锚列表，否则旧密钥停用后将无法验证签名并返回SERVFAIL错误
全部知识事实 (4)
DNSSEC 通过数字签名机制解决 DNS 的根本缺陷：传统 DNS 应答没有完整性校验，中间人可以伪造应答把用户引向恶意地址（缓存投毒）。启用 DNSSEC 后，区域会为每条记录生成 RRSIG 签名，解析器沿信任链验证签名，验证通过才会在应答头部设置 AD 标志。
50%待验证DNSSEC 在真实部署中存在不少痛点：密钥轮换操作复杂、算法过期（如早期的 SHA-1 签名方案）、部分注册商与注册管理机构之间的 DS 记录同步延迟、老旧解析器不支持验证等，都会导致域名签了但不生效或被误判为不安全。
50%待验证执行DNSSEC校验的递归解析器必须预先将新KSK加入信任锚列表，否则旧密钥停用后将无法验证签名并返回SERVFAIL错误
50%待验证Cloudflare提醒DNS根区KSK计划于10月11日轮换，执行DNSSEC校验的解析器需在切换前信任新密钥
50%