DNSSEC 检测与验证

检查域名是否启用 DNSSEC 签名并能从根域验证通过：上级区域的 DS 记录、区域的 DNSKEY、签名有效期以及解析器的验证结果。

工作原理

DNSSEC 如何验证

信任链

根域为顶级域签名，顶级域为你的域名发布 DS 记录，你的区域 DNSKEY 必须与该 DS 匹配。每一环都必须有效。

签名会过期

RRSIG 签名有过期时间。如果签名方停止重新签名，签名过期后区域就会验证失败。

验证失败比未签名更糟

未签名的域名仍可解析。信任链断裂会使校验型解析器返回 SERVFAIL，导致大多数用户无法访问该域名。

FAQ

常见问题

更换 DNS 服务商后域名验证失败，为什么？

旧的 DS 记录仍在注册商处，但新服务商使用不同的密钥签名。请在注册商处删除旧 DS（或替换为新的）。

如何开启 DNSSEC？

在 DNS 服务商处启用签名，然后将其提供的 DS 记录复制到注册商。

应该使用哪种算法？

ECDSA P-256（算法 13）是常见的现代选择：签名小，且得到广泛支持。

更多免费工具

DNS 查询通过公共解析器查询 A、AAAA、MX、TXT、NS、CAA 等记录。WHOIS 查询查询任意域名的注册商、日期、状态和 NS 服务器。DNS 全球生效检测查看全球各地解析器对你的域名返回什么结果。Punycode 中文域名转换在国际化域名与 xn-- 格式之间互相转换。子域名查找从证书透明度（CT）日志中查找域名的子域名。SSL 证书检测检测网站证书、证书链、到期时间和 TLS 版本。HTTP 头检测查看网址的状态码、重定向和响应头。我的 IP 地址你的公网 IP 地址、反向 DNS 和浏览器信息。

支持 DNSSEC 的权威 DNS

支持 GeoDNS 的权威 DNS