什么是 DNSSEC
了解 DNS 响应认证、信任链及其局限。
DNSSEC 为 DNS 数据添加数字签名，使验证型解析器可以检查答案是否真实，以及是否在传输途中被修改。正确部署时，它保护 DNS 答案的完整性。它不会加密 DNS 查询、隐藏浏览活动，也不能替代网站的 HTTPS。
验证如何工作
已签名区域发布签名和 DNSKEY 数据。信任链把父区域连接到子区域，通常通过父区域中的 DS 记录实现。验证型解析器在接受签名答案前会检查这条链。如果签名或连接错误，即使底层 A 或 MX 值看似合理，验证也可能失败。
因此，配置时注册商和 DNS 提供商都很重要：DNS 提供商为区域签名，父级的 DS 信息必须匹配。更换提供商后，如果旧 DS 记录仍然存在，域名对验证型解析器而言可能像是无法访问。
DNSSEC 无法解决什么
DNSSEC 验证 DNS 数据，但不能证明答案所指向的服务器安全，也不能证明其网页内容真实。它也不会保护注册商账户。HTTPS 证书和传输加密处理的是其他问题。DNS over HTTPS 可以加密到解析器的连接，但它本身不会验证已签名的 DNS 链。
未签名的域名不一定已经遭到入侵。是否启用 DNSSEC 取决于提供商的支持，以及能否正确维护密钥和委派。
实际检查
启用时，应遵循 DNS 提供商的说明，在注册商发布匹配的 DS，并在停用旧提供商前测试验证。任何名称服务器或密钥变更后，都要检查 DS 与 DNSKEY 是否仍然匹配。/whois 可用于查看 DNS 上下文，但应使用专门的验证型解析器或诊断工具确认信任链。DNS 记录指南说明了相关记录类型的作用。
参考资料
试用查询工具
查看域名注册线索或 DNS 记录。
开始查询