Defaults.Exposed › Отчёты

Работает ли обязательный DNSSEC? Что показывает внедрение под давлением реестров (2026)

Опубликовано 2026-06-29

Данные по состоянию на 2026-06-29 · методология v7. Агрегированные данные переписи по 261 миллионам оценённых доменов, по национальному окончанию домена (это показатель политики реестра, а не местоположения компании). «Стимулируемое реестром» = реестр окончания активно продвигает DNSSEC через стимулы или требования — в основном стимулы для регистраторов, а не юридические предписания. «Действительный» = цепочка DNSSEC, которая проходит проверку; «сломанный» = подписан, но не проходит проверку. См. как мы оцениваем.

Действительно ли принуждение регистраторов продвигать DNSSEC сдвигает внедрение? Да — решительно — но с оговоркой. На окончаниях, реестры которых продвигают DNSSEC, 9,1% доменов имеют действительную подпись против всего лишь 1,3% на окончаниях, оставляющих это владельцам — примерно в 7× выше. Политика работает там, где добровольное внедрение топчется на месте. Оговорка: даже у лидеров больше доменов ломают DNSSEC, чем настраивают его правильно — так что давление реестра решает задачу включения, а не правильной настройки.

Повышает ли продвижение DNSSEC уровень внедрения?

Однозначно. Стимулируемые реестром национальные окончания группируются около 10–18% действительного DNSSEC; окончания по принципу laissez-faire находятся около глобального минимума в 1,99%. Чем выше процент действительных — тем лучше; процент сломанных — это цена ошибки. По состоянию на 2026-06-29:

Шведские 18,38% более чем в десять раз превышают 1,62% у .com. Разрыв не в технологии — протокол везде один и тот же — а в том, был ли у кого-то в цепочке повод его развернуть.

Оговорка: сломанного больше, чем работающего

Вот неудобная половина. В каждом из перечисленных выше стимулируемых реестром окончаний доля сломанных выше доли действительных — Швеция показывает 30,35% сломанных против 18,38% действительных; Нидерланды 22,98% против 11,86%. По всем стимулируемым окончаниям это 15,7% сломанных против 9,1% действительных.

Это важно, потому что сломанный DNSSEC не безобиден: проверяющий резолвер откажется разрешать домен, чьи подписи не сходятся, так что неправильная конфигурация может вывести домен в офлайн — сайт и почту — для части интернета. Продвижение внедрения без продвижения правильности масштабирует сбои наравне с защитой. Это та же проблема исполнения, которую вся сеть демонстрирует в парадоксе DNSSEC, лишь усиленная там, где её пытаются настроить больше доменов.

Почему политика реестра побеждает подход «оставить владельцам»

У DNSSEC нет принуждающего события для отдельного владельца: ничто не ломается и не предупреждает, если вы его пропустите, так что на окончании по принципу laissez-faire вроде .com внедрение остаётся ровным около 1,62% бесконечно. Реестры, вырвавшиеся из этого, сделали это через экономику, а не указы — обычно стимулы для регистраторов (скидки или возвраты за подписание зон) плюс автоматизацию у провайдера, благодаря чему скандинавские, чешский и нидерландский реестры подняли всю свою популяцию. Это чистый естественный эксперимент: один протокол, одна сложность, очень разные результаты — и разница в политике реестра.

Предписание или стимул — что действительно сдвигает дело?

В основном стимул. Несмотря на «обязательную» формулировку, в которой обычно ставится вопрос, окончания с высоким внедрением здесь, как правило, поощряют DNSSEC, а не требуют его по закону; жёсткие предписания встречаются реже (некоторые правительства требуют его для доменов госсектора). Урок для любого реестра: согласование экономики регистраторов и автоматизации в сторону подписания работает — но это следует сочетать с управляемым подписанием и ротацией ключей, иначе вы просто производите больше сломанных зон.

Часто задаваемые вопросы

Действительно ли требование или стимулирование DNSSEC повышает внедрение? Да — примерно в 7× по нашим данным: 9,1% действительных на стимулируемых реестром окончаниях против 1,3% на окончаниях по принципу laissez-faire, по состоянию на 2026-06-29.

В какой стране или у какого TLD больше всего DNSSEC? Среди крупных окончаний лидирует Швеция (.se) с 18,38% действительных — более чем в десять раз больше, чем 1,62% у .com.

Если внедрение выше, настроен ли DNSSEC правильно? Часто нет. В каждом окончании с высоким внедрением сломанный DNSSEC превосходит действительный (15,7% против 9,1% по стимулируемым окончаниям) — а сломанный DNSSEC может вывести домен в офлайн.

Стоит ли малому бизнесу включать DNSSEC? Только если он управляется правильно — сломанная подпись хуже её отсутствия. Используйте провайдера, который занимается подписанием и ротацией ключей, и убедитесь, что проверка проходит. См. как починить DNSSEC.

Проверьте DNS своего домена

Узнайте, действителен ли ваш DNSSEC, сломан или отсутствует — а также остальную часть вашей конфигурации — приватно и бесплатно.

Проверьте свой домен → · Парадокс DNSSEC → · Кто управляет DNS интернета? → · Починить DNSSEC → · Только агрегированные данные. Данные хранятся и обрабатываются в ЕС.