DNSSEC

DNSSEC 为 DNS 应答加上数字签名，开启了 DNSSEC 验证的递归解析器可以据此确认应答确实来自域名的权威服务器且未被篡改，从而防范缓存投毒等攻击。

在 Yeap Cloud DNS 中，开启 DNSSEC 后由名称服务器实时签名应答，你无需自己管理签名过程。要让 DNSSEC 真正生效，还需要把平台生成的 DS 记录提交到域名注册商，在上级域（如 .com）建立信任链。

#开启前的准备

• 区域状态为「活跃」，且域名的 Nameserver 已经指向平台分配的名称服务器（参见 区域与解析记录）。
• 确认注册商支持为该域名添加 DS 记录，并支持 算法 13（ECDSA P-256 / SHA-256） 和 摘要类型 2（SHA-256）。主流注册商与常见顶级域名均支持。
• 如果该域名之前在别的 DNS 服务商处开启过 DNSSEC，请先在注册商处删除旧的 DS 记录，并等待其缓存过期后再切换 Nameserver，否则切换后域名可能无法解析。

#第 1 步：在区域中开启 DNSSEC

1. 进入 DNS管理 → 区域管理，在目标区域的操作列点击 DNSSEC设置 图标；或在区域的记录页面点击 更多操作 → DNSSEC 设置。
2. 在 DNSSEC 设置 窗口中点击 启用 DNSSEC 并确认。
3. 系统会自动生成签名密钥（KSK 和 ZSK），窗口中的 DNSSEC 状态 变为 已启用，并显示 签名算法（ECDSAP256SHA256）和 Key Tag。

开启后，名称服务器会为该区域发布 DNSKEY 记录，并对请求 DNSSEC 的查询返回签名（RRSIG），对不存在的名称返回经过签名的否定应答。

#第 2 步：获取 DS 记录

开启后，DNSSEC 设置 窗口会列出 DS 记录的各个字段，每项都可一键复制：

窗口下方还提供 完整DS记录格式，形如：

example.com. 3600 IN DS 12345 13 2 3F8A...（摘要）

部分注册商要求分别填写 Key Tag、算法、摘要类型、摘要四个字段，部分则接受整行 DS 记录，请按注册商的界面选择。

#第 3 步：在注册商处添加 DS 记录

域名在其他注册商：登录注册商后台，找到该域名的 DNSSEC / DS 记录设置，按上表填写并保存。

域名在 Yeap Cloud 注册：打开 域名注册 → 我的域名，进入该域名详情的 DNSSEC 标签页：

• DNS 服务 DNSSEC 状态 会显示该域名在 Yeap Cloud DNS 中的 DNSSEC 状态；
• 在 同步 DNSSEC 中点击 同步到注册商，即可把 DS 记录提交给注册局；
• 也可以在 手动添加 DS 记录 中逐项填写后点击 提交 DS 记录；
• 注册商 DNSSEC 状态 显示为「已配置」即表示提交成功。

该功能是否可用取决于该域名后缀的注册商接口是否支持 DNSSEC；不支持时会给出提示。

#第 4 步：验证

DS 生效后，可以用以下方法检查信任链是否完整：

# 查看上级域是否已发布 DS 记录
dig +short DS example.com

# 查看区域的 DNSKEY 及签名（替换为分配给区域的 Nameserver）
dig +dnssec DNSKEY example.com @<分配的NS>

# 通过开启验证的公共解析器查询，返回标志中含 ad 表示验证通过
dig +dnssec www.example.com @1.1.1.1

也可以使用 DNSViz 等在线工具可视化检查整条信任链。

#重新生成密钥

DNSSEC 设置 窗口中的 重新生成密钥 会同时替换 KSK 和 ZSK，并生成新的 DS 记录。新密钥会立即生效，平台不会进行新旧密钥并存的平滑轮换，因此注册商处的旧 DS 会与新密钥不匹配，开启验证的解析器将无法解析该域名，直到新的 DS 生效、旧 DS 的缓存过期。

#安全关闭 DNSSEC

如果直接在控制台关闭 DNSSEC，而注册商处仍保留 DS 记录，开启验证的解析器会认为应答被篡改，导致域名无法解析。请按以下顺序操作：

1. 在注册商处删除该域名的 DS 记录（在 Yeap Cloud 注册的域名，可在域名详情 DNSSEC 标签页中删除）。
2. 等待 DS 记录的缓存过期，一般建议至少 24–48 小时。可用 dig +short DS example.com 确认上级域已不再返回 DS。
3. 回到 DNSSEC 设置 窗口，点击 禁用 DNSSEC 并确认。

同样的顺序也适用于把域名迁出平台：先删除 DS，等待缓存过期，再修改 Nameserver 或删除区域。