DNSSEC
通过数字签名机制为DNS应答提供完整性校验的安全扩展，使用RRSIG签名和信任链验证防止缓存投毒。
核心事实
时间轴 (近 90 天)
MTA-STS通过HTTPS发布策略声明，强制发件方必须使用TLS；DANE借助DNSSEC将证书信息绑定到域名记录，用于弥补STARTTLS的降级攻击风险。
DNSSEC 通过数字签名机制解决 DNS 的根本缺陷：传统 DNS 应答没有完整性校验，中间人可以伪造应答把用户引向恶意地址（缓存投毒）。启用 DNSSEC 后，区域会为每条记录生成 RRSIG 签名，解析器沿信任链验证签名，验证通过才会在应答头部设置 AD 标志。
DNSSEC 在真实部署中存在不少痛点：密钥轮换操作复杂、算法过期（如早期的 SHA-1 签名方案）、部分注册商与注册管理机构之间的 DS 记录同步延迟、老旧解析器不支持验证等，都会导致域名签了但不生效或被误判为不安全。
Cloudflare提醒DNS根区KSK计划于10月11日轮换，执行DNSSEC校验的解析器需在切换前信任新密钥
执行DNSSEC校验的递归解析器必须预先将新KSK加入信任锚列表，否则旧密钥停用后将无法验证签名并返回SERVFAIL错误
全部知识事实 (5)
DNS over HTTPS（DoH）将DNS查询封装在加密HTTPS流量中，使传统基于明文DNS流量分析的检测手段失效
65%待验证MTA-STS通过HTTPS发布策略声明，强制发件方必须使用TLS；DANE借助DNSSEC将证书信息绑定到域名记录，用于弥补STARTTLS的降级攻击风险。
50%待验证DNSSEC 通过数字签名机制解决 DNS 的根本缺陷：传统 DNS 应答没有完整性校验，中间人可以伪造应答把用户引向恶意地址（缓存投毒）。启用 DNSSEC 后，区域会为每条记录生成 RRSIG 签名，解析器沿信任链验证签名，验证通过才会在应答头部设置 AD 标志。
50%待验证DNSSEC 在真实部署中存在不少痛点：密钥轮换操作复杂、算法过期（如早期的 SHA-1 签名方案）、部分注册商与注册管理机构之间的 DS 记录同步延迟、老旧解析器不支持验证等，都会导致域名签了但不生效或被误判为不安全。
50%待验证执行DNSSEC校验的递归解析器必须预先将新KSK加入信任锚列表，否则旧密钥停用后将无法验证签名并返回SERVFAIL错误
50%