DNSSEC 检测工具：批量检查 DS、DNSKEY、RRSIG 与签名有效性

常见问题

DNSSEC 是什么？

给 DNS 记录加数字签名，解析器可以验证结果没被篡改。上级（注册局）保存 DS 记录，域名自己的 DNS 服务器发布 DNSKEY 和签名。

“未签名”有问题吗？

不会导致无法访问，只是没有防篡改保护。需要时可在 DNS 服务商开启签名，再到注册商添加 DS。

“验证失败”会怎样？

开启 DNSSEC 验证的解析器（很多公共 DNS 和运营商）会直接返回 SERVFAIL，用户就打不开网站、收不到邮件，需要尽快修复。

检测是怎么做的？

用开启验证的递归解析器判断结果，再直接向上级和权威服务器查询 DS、DNSKEY、RRSIG，对比 DS 摘要和签名有效期。

把检测过的域名直接带入 189DNS 控制台，自动生成 Zone 并导入现有记录。省去逐条录入。