DNSSEC 详解：你真的需要它吗？

DNSSEC（域名系统安全扩展，Domain Name System Security Extensions）会为你的 DNS 记录添加加密签名，让解析器能够证明它所收到的应答真实且未被篡改。如果你的域名涉及资金、登录、电子邮件，或有值得攻击的声誉，你就需要它——而对于风险很低的个人站点，完全可以不用。它不是防火墙，不会加密任何东西，而且配置错误会让你的域名下线，这正是为什么在动手之前先搞懂它很值得。

采用情况说明了问题：DNS 根区和大多数主要顶级域都已签名，各大公共解析器也会验证签名，然而真正启用 DNSSEC 的单个域名却只占少数。这一差距并不是因为它没用——而是因为如果草率行事，它会带来实实在在的运维风险。下面讲清楚 DNSSEC 防御什么、什么时候值得启用，以及如何在不出任何问题的前提下把它打开。

DNSSEC 究竟是什么

DNSSEC 是一组扩展，让 DNS 解析器能够验证它收到的每一条应答上的签名。普通 DNS 在 20 世纪 80 年代初设计时完全没有任何身份验证：当你的浏览器询问“example.com 的 IP 是什么？”时，它会信任最先到达的任何应答。DNSSEC 弥补了这一缺口——让每个区用私钥为自己的记录签名，并发布对应的公钥，这样验证型解析器在信任应答之前就能核对其中的数学运算。

这种信任以链条形式运作。DNS 根区自 2010 年起就已签名，根为每个顶级域背书，顶级域为你的域名背书，而你的域名则为自己的记录背书。把你的域名与其父级连接起来的那一环，是一条小小的 DS（委派签名者，Delegation Signer）记录，由你的注册商代你发布到注册局。这一交接正是大家卡壳的地方，也是你所选注册商为何重要的原因。

涉及的记录

• DNSKEY——你所在区的公钥。
• RRSIG——附加在每组记录上的签名。
• DS——发布在你的顶级域处、用于锚定信任链的指纹。
• NSEC/NSEC3——证明某个名称确实不存在的已签名凭证，这样攻击者就无法伪造“无此记录”的应答。

DNSSEC 防御什么

DNSSEC 的存在，是为了阻止攻击者向你投送伪造的 DNS 应答。最典型的威胁是缓存投毒——即 2008 年演示的 Kaminsky 式攻击——攻击者抢先把一条坏记录塞进解析器的缓存，悄悄地把你银行的主机名指向他们自己的服务器。由于受害者的浏览器地址栏里显示的仍是正确的域名，一切看起来都没有问题。

已签名的记录能挫败这种攻击。如果应答没有被正确签名并一路链回根区，验证型解析器会直接拒绝它。具体来说，DNSSEC 可防御：

• 缓存投毒和 DNS 欺骗——被注入解析器的伪造记录。
• 路径中篡改——网络攻击者在传输途中改写 DNS 应答。
• 伪造的“不存在”应答——把一条确实存在的记录藏起来。

它还是 DANE 的基础——DANE 让你能用 TLSA 记录在 DNS 中固定 TLS 证书。DANE 只有在区已签名时才有效，因此 DNSSEC 是实现这种更强的电子邮件与网站证书绑定的前提。

DNSSEC 不能做什么

很多人启用它时期待的是错误的好处。DNSSEC 验证 DNS 数据的真实性，但并不隐藏它。任何在网络上监视的人，仍然能看到你查询了哪些域名。

• 它不会加密你的 DNS 查询。那是 DNS-over-HTTPS（DoH）或 DNS-over-TLS（DoT）的工作，它们是另外的技术。
• 它不会保护你的网站内容或服务器。它只验证把访问者引向你 IP 地址的那次查询。
• 它无法阻止在仿冒域名上的钓鱼。一个已签名的拼写错误域名，依然是骗局。
• 如果访问者的解析器不做验证，它就毫无作用。像 Cloudflare 的 1.1.1.1、Google 的 8.8.8.8 和 Quad9 这样的公共验证型解析器确实会核对签名，但并非每个网络都会。

什么时候值得启用 DNSSEC

DNSSEC 是否值得这份运维开销，归根结底取决于一次被劫持的查询会让你付出多大代价。当风险高到足以配得上它所要求的谨慎时，就把它打开：

• 资金和身份要经过这个域名——银行、支付、电子商务、医疗或政府服务。
• 这个域名承载着你在意的电子邮件，尤其是当你想在 SPF、DKIM 和 DMARC 之上再叠加 DANE/TLSA 时。
• 它是高价值或适合做品牌的资产，其流量值得被劫持——对这一档的名称，把 DNSSEC 与注册局锁定（registry lock）搭配使用。
• 某个合规框架或注册商的激励措施要求使用它——有好几个国家代码顶级域都在积极奖励已签名的域名。

对于用完即弃的项目、停放页面，或没人有动机去攻击的个人博客，完全可以不用它——尤其是当你无法保证持续监控时。DNSSEC 不是“一劳永逸”，而是“设好之后还要盯着”。

真正的风险：配置错误会让你下线

DNSSEC 老实说有个缺点：它采用失败即关闭（fail closed）的方式。如果你的签名过期、密钥轮换出了差错，或者注册局处的 DS 记录不再与你发布的密钥相匹配，验证型解析器不会给出“尽力而为”的应答——它们会返回 SERVFAIL，于是你的域名对互联网上很大一部分用户而言就直接消失了。好几起广受关注的中断事故，追根溯源都正是出在这里。

两条规则能保你平安：

1. 让同一家服务商管理整条链。当你的注册商和 DNS 托管商是同一家公司时，密钥轮换和 DS 更新会自动完成。把两者分开，就意味着每次密钥变更都要手动复制 DS 记录——这是搞坏 DNSSEC 最常见的方式。
2. 监控它。使用 DNSSEC 验证检查工具，或一个会标记 SERVFAIL 的可用性监控，这样一旦签名即将过期，它能在你的客户察觉之前就通知到你。

让 DNSSEC 变得省心的注册商

当同一个平台既是你的注册商又是你的 DNS 托管商时，DNSSEC 就会变得省心，因为它能替你发布和轮换 DS 记录，无需手动复制粘贴。有几个选项尤为突出：

• Cloudflare——按成本价注册（.com 约 $10.46），并在你使用 Cloudflare 的域名服务器时提供真正的一键 DNSSEC；它会自动管理密钥和 DS 记录。
• Porkbun——.com 大约 $11，附带免费的 WHOIS 隐私保护，并在其域名服务器上提供一键 DNSSEC，是一个各方面都很出色的默认之选。
• Namecheap 及其他主流注册商——支持 DNSSEC，不过如果你的 DNS 托管在别处，你可能得手动粘贴 DS 记录。

如果你要注册的域名是溢价或适合做品牌的名称，不妨看看 Atom.com。Atom 最为人熟知的身份，是一个精选的品牌化域名交易市场——每一个在售项目都附带免费的 AI 估值、USPTO 商标检查、安全托管交易，以及一个专业设计的徽标——但它同时也提供完整的注册商服务，因此你可以注册一个可用的名称，并在同一个地方管理它的 DNS、域名服务器、转发和 DNSSEC。若只求最便宜的按成本价注册，Porkbun 或 Cloudflare 更胜一筹；而当你想要一个令人难忘、经过甄选的名称，并把注册、估值、商标检查和品牌资产一并搞定时，就选 Atom。

如何开启 DNSSEC

1. 确认双方都支持它。你的 DNS 托管商必须能为该区签名，而你的注册商必须接受针对你顶级域的 DS 记录。
2. 在你的 DNS 托管商处启用签名。在现代服务商那里，这只是一个开关，它会生成你的密钥以及 RRSIG/DNSKEY 记录。
3. 在你的注册商处发布 DS 记录。如果两项都由同一家公司负责，这一步会自动完成；如果不是，就把 DS 记录（密钥标签、算法、摘要类型和摘要）复制到你注册商的 DNSSEC 面板中。
4. 验证。用 DNSSEC 分析工具检查你的域名，确认信任链从根区一路到你的记录都能干净地解析。
5. 设个提醒，盯住它。确认你的服务商会自动续签签名并轮换密钥，并加上 SERVFAIL 监控。

只要按正确顺序完成，启用 DNSSEC 只需几分钟，就能悄无声息地为你的域名消除一整类攻击。

常见问题

DNSSEC 会拖慢我的网站吗？

对访问者的影响可以忽略不计。验证只会增加几毫秒，以及略大一些的 DNS 应答，而这些结果都会被缓存，因此终端用户不会感觉到加载时间上有任何差别。

DNSSEC 和 HTTPS 或 SSL 证书是一回事吗？

不是。HTTPS/TLS 保护的是浏览器与你服务器之间的连接；DNSSEC 保护的则是最初那次找到服务器地址的查询。它们保护的是链条中不同的环节，搭配使用效果最好。

DNSSEC 能阻止钓鱼吗？

单靠它不行。它能阻止攻击者伪造你真实域名的 DNS，却无法阻止别人注册一个仿冒域名并去给那个域名签名。防范钓鱼还需要像 DMARC 这样的额外防线，以及用户的安全意识。

如果我的 DNSSEC 配置出了问题会怎样？

验证型解析器会返回 SERVFAIL，于是对所有使用它们的人来说，你的域名会变得无法访问，而不是以不安全的方式加载。这种失败即关闭的行为在设计上是安全的，但这也正是为什么对签名和密钥进行监控很重要。

如果我已经使用 DoH 或像 1.1.1.1 这样的解析器，还需要 DNSSEC 吗？

需要，它们解决的是不同的问题。DoH/DoT 会加密你的查询，但不会像 DNSSEC 那样去验证源端记录的真实性。在像 Cloudflare 这样的服务商处，你可以把两者都启用，而且那里的 DNSSEC 只需点一下即可。