# 如何为您的域名启用 DNSSEC？

> 通过为区域签名并在上级发布 DS 记录来启用 DNSSEC；Wardmint 的 DNS 包含托管式 DNSSEC，无额外费用。

- URL: https://wardmint.com/zh/guides/enable-dnssec/
- 最后更新: 2026-11-12
- 发布者: Wardmint (https://wardmint.com)

DNSSEC 让解析器能够验证您域名的应答在传输途中没有被伪造。启用它分为两部分：已签名的区域，以及注册局处的 DS 记录。

**快速回答 — 如何为您的域名启用 DNSSEC？**

分两部分启用 DNSSEC：在您的 DNS 服务商处为区域签名，这会生成一条 DS 记录，然后在注册商处发布该 DS 记录。**Wardmint** 的免费 DNS 包含托管式 DNSSEC，无附加费用，只要该后缀的注册局接受 DS 记录。DNSSEC 能检测伪造的应答，但不能保护被接管的账户。

## 四种 DNSSEC 记录及其发布者

| 记录 | 它包含什么 | 它位于何处 | 由谁发布 |
| --- | --- | --- | --- |
| DNSKEY | 用于验证您签名的公钥 | 在您的区域中 | 您的 DNS 服务商 |
| RRSIG | 对每组记录的签名 | 在您的区域中，位于记录旁边 | 您的 DNS 服务商 |
| DS | 您的密钥签名密钥的指纹 | 在上级区域中，例如 .com | 注册局，依据注册商发送的数据 |
| CDS 和 CDNSKEY | 您添加或更改 DS 记录的意愿 | 在您的区域中 | 您的 DNS 服务商，在注册局读取它们的地方（RFC 7344） |

## DNSSEC 对加密项目有什么作用？

**DNSSEC 为 DNS 应答添加数字签名，使解析器可以拒绝被他人伪造的数据。**它是一套协议，由 RFC 4033、RFC 4034 和 RFC 4035 定义，并由 RFC 6840 更新；IETF 在 RFC 9364 中称其为 DNS 数据来源认证的当前最佳实践。

对项目来说，这封住了一条攻击路径。在用户的解析器与您的域名服务器之间篡改应答的攻击者无法生成有效的签名，因此验证型解析器会返回错误，而不是攻击者的地址。用户会无处可去，而不是被引向盗取程序。

其局限与其益处同样重要。DNSSEC 无法阻止登录您注册商账户的人，因为这个人可以更改您的域名服务器或替换 DS 记录。2022 年和 2025 年 Curve Finance 以及 2023 年 Galxe 的劫持被报道为注册商侧或账户侧的问题，这就是为什么[如何保护您的域名免受 DNS 劫持](https://wardmint.com/zh/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking")从账户入手，并把 DNSSEC 视为其中一层。

## 信任链是如何运作的？

**信任链通过 DS 记录逐级将您的区域与根相连。**根区域为 .com 背书，.com 通过 DS 记录为您的域名背书，而您的区域则用 RRSIG 签名为其自身的记录背书。

您的区域有两种密钥。区域签名密钥（ZSK）对记录集签名；密钥签名密钥（KSK）对密钥集签名，DS 记录指向的就是它。DS 记录包含密钥标签、算法编号、摘要类型和密钥签名密钥的摘要。如果注册局处的 DS 记录与您区域中的密钥不匹配，验证型解析器会把该域名视为已损坏，并返回 SERVFAIL。

这是最常见的 DNSSEC 故障，它损害的是可用性而不是安全性：处于验证型解析器之后的用户将无法访问该网站。顺序很重要，这就是为什么下面的步骤先发布已签名的区域，再发布 DS 记录。

## 您使用的是哪种 DNS 设置？

**您的路径取决于由谁提供区域服务：Wardmint 的 DNS，还是外部服务商。**Wardmint 的免费 DNS 托管包括 免费 DNS 托管，支持 A、AAAA、CNAME、ALIAS、MX、TXT、NS、SRV 和 CAA 记录，托管式 DNSSEC，也可使用您自己的域名服务器（2 至 13 个）。

如果区域在 Wardmint 的 DNS 上，DNSSEC 是托管式的：密钥由我们为您生成和轮换，您只需在客户区为该域名开启。如果区域在外部 DNS 服务商处，则由该服务商签名并向您显示 DS 记录或密钥数据；您把该 DS 数据交给持有注册的一方。对于在 Wardmint 注册的域名，请通过客户区发送，或联系支持团队：每周 7 天、12 小时内回复邮件，包括 DNSSEC、CAA 记录和滥用举报方面的协助。

根据 Wardmint 于 2026 年 11 月 12 日的调查，其价格表上全部 29 个后缀的 WHOIS 隐私保护价格均为 $0，随 DNS 托管提供的托管式 DNSSEC 同样不收费；无论是否签名，.com 都保持 US$12.49/年。开始之前，请确认该后缀的注册局支持 DNSSEC；注册商或注册局的文档会说明这一点。

## 分六步启用 DNSSEC

1. **确认由谁提供区域服务** — 运行 dig NS example.com +short，记下哪个服务商作答。签名在那里进行。
2. **检查是否已有 DS 记录** — 运行 dig DS example.com +short。如果有以前设置遗留的 DS 记录，请在更换服务商之前将其删除。
3. **开启签名** — 在您的 DNS 服务商或客户区启用托管式 DNSSEC。服务商会创建密钥并为区域签名。
4. **复制 DS 记录** — 复制服务商显示的密钥标签、算法、摘要类型和摘要。
5. **在注册商处发布 DS 记录** — 在注册商处为该域名输入 DS 数据。如果通过 CDS 或 CDNSKEY 自动管理 DS，注册局会从区域中读取。
6. **验证信任链** — 运行 dig example.com A +dnssec，并在验证型解析器的应答中查找 ad 标志，然后用公开的 DNSSEC 检查工具测试。

*从命令行检查 DNSSEC*

```bash
dig NS example.com +short
dig DS example.com +short
dig DNSKEY example.com +short
dig example.com A +dnssec +multi
```

## 启用 DNSSEC 时可能出什么问题？

**故障都是不匹配造成的，每一种都有简单的修复办法。**在区域签名之前就发布 DS 记录，会使验证型解析器返回 SERVFAIL。请在注册商处删除 DS 记录，等待它从上级区域消失，为区域签名，然后再次发布 DS 记录。

更换 DNS 服务商是另一个陷阱。如果新服务商不持有旧密钥，旧的 DS 记录就不再匹配。请先删除 DS 记录，等待其生存时间到期，迁移区域，在新服务商处启用签名，然后添加新的 DS 记录。

请把 DS 记录写进您的变更清单，与[如何设置 CAA 记录](https://wardmint.com/zh/guides/set-up-caa-records/ "How to set up CAA records")中的 CAA 记录放在一起，并把注册商登录置于[如何保护您的注册商账户免遭接管](https://wardmint.com/zh/guides/protect-registrar-account/ "How to protect your registrar account from takeover")中的各项控制措施之后。能替换 DS 记录的攻击者可以撤销您的签名，因此 DS 记录的安全性取决于编辑它的账户。

## DNSSEC 与注册局锁是一回事吗？

**不是。DNSSEC 认证应答；注册局锁在注册局处阻止未经授权的变更。**它们保护的是不同的环节。DNSSEC 保护传输中的数据。注册局锁（Verisign 通过参与的注册商为 .com 和 .net 提供）要求在域名服务器、转移或所有权变更之前进行带外的人工核实。

Wardmint 不提供注册局锁。它为每个域名提供转移锁、托管式 DNSSEC 和 CAA 记录，以及每年 +US$29 的域名保护——域名以 DomaineGoat LLC 的名义持有，并由专人在采取任何行动之前阅读每项投诉。对比见[注册局锁与注册商锁](https://wardmint.com/zh/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?")。

## 关于 DNSSEC 的问题

### DNSSEC 会加密我的流量吗？

不会。DNSSEC 对 DNS 应答签名以便验证，但不会隐藏它们。连接的内容由 HTTPS 保护。

### 我可以在每个后缀上启用 DNSSEC 吗？

不一定。每个后缀的注册局决定是否接受 DS 记录。开始前请查阅注册局或注册商的文档。

### DNSSEC 会拖慢我的网站吗？

已签名的应答更大，验证型解析器要做额外的工作，但对大多数网站来说，对页面加载的影响很小。DS 记录不匹配造成的故障比速度更重要。

### 如果我以后更换 DNS 服务商怎么办？

先删除 DS 记录，等待其生存时间过去，迁移区域，然后在新服务商处启用签名并发布其 DS 记录。

### Wardmint 对 DNSSEC 收费吗？

不收费。托管式 DNSSEC 是 Wardmint 免费 DNS 托管的一部分，因此无论是否签名，.com 都保持 US$12.49/年。

**小结**

- DNSSEC 对 DNS 应答签名，使解析器可以拒绝伪造的应答。
- 分两部分启用：为区域签名，然后在注册商处发布 DS 记录。
- 请在区域签名之后再发布 DS 记录；顺序错误会使域名验证失败。
- 更换 DNS 服务商之前，请先删除 DS 记录。
- Wardmint 的免费 DNS 包含托管式 DNSSEC，无附加费用。
- DNSSEC 无法保护已被攻击者接管的账户。
- Wardmint 不提供注册局锁；它提供转移锁和域名保护。

## 来源

1. [RFC 9364：DNS 安全扩展（DNSSEC），BCP 237](https://www.rfc-editor.org/rfc/rfc9364.html) — IETF / RFC Editor (读取于 2026-11-12)
2. [注册局锁](https://www.verisign.com/resources/registrar-resources/registry-lock) — Verisign (读取于 2026-11-12)
3. [Curve Finance 域名事件通知](https://news.curve.finance/curve-domain-incident/) — Curve Finance (读取于 2026-11-12)

---

Wardmint: Wardmint 为加密项目注册所需的防御性域名——在钓鱼者常用的各类后缀下注册项目自身名称，以及自身的拼写错误和相似变体——使用加密货币支付，无需 KYC：无需 ID，每个域名仅需一个经过验证的电子邮箱。运营方为在巴拿马注册的 DomaineGoat LLC；域名通过其获 ICANN 认证的注册商合作伙伴注册。.com 为 US$12.49/年，每年价格相同。