Defaults.Exposed › Báo cáo
DNSSEC bắt buộc có hiệu quả không? Việc áp dụng do cơ quan đăng ký thúc đẩy cho thấy điều gì (2026)
Đã xuất bản 2026-06-29
Số liệu tính đến 2026-06-29 · phương pháp luận v7. Dữ liệu tổng điều tra gộp trên 261 triệu tên miền được chấm điểm, theo đuôi tên miền quốc gia (một chỉ báo cho chính sách của cơ quan đăng ký, không phải vị trí công ty). “Do cơ quan đăng ký thúc đẩy” = cơ quan đăng ký của đuôi đó chủ động quảng bá DNSSEC thông qua ưu đãi hoặc yêu cầu — chủ yếu là ưu đãi cho nhà đăng ký, không phải bắt buộc theo luật. “Hợp lệ” = một chuỗi DNSSEC xác thực thành công; “hỏng” = đã ký nhưng không xác thực được. Xem cách chúng tôi chấm điểm.
Việc bắt các nhà đăng ký thúc đẩy DNSSEC có thực sự làm tăng việc áp dụng không? Có — một cách dứt khoát — nhưng có một điểm bất lợi. Trên các đuôi mà cơ quan đăng ký thúc đẩy DNSSEC, 9.1% tên miền có chữ ký hợp lệ, so với chỉ 1.3% trên các đuôi để mặc chủ sở hữu quyết định — cao hơn khoảng 7×. Chính sách phát huy tác dụng ở nơi việc áp dụng tự nguyện chững lại. Điểm bất lợi: ngay cả ở những đơn vị dẫn đầu, số tên miền làm hỏng DNSSEC nhiều hơn số làm đúng — nên áp lực từ cơ quan đăng ký giải quyết việc bật nó lên, chứ không phải làm đúng nó.
Thúc đẩy DNSSEC có làm tăng việc áp dụng không?
Rõ ràng là có. Các đuôi quốc gia do cơ quan đăng ký thúc đẩy tập trung quanh mức 10–18% DNSSEC hợp lệ; các đuôi buông lỏng nằm gần mức sàn toàn cầu 1.99%. Tỷ lệ hợp lệ cao hơn thì tốt hơn; tỷ lệ hỏng là cái giá của việc làm sai. Tính đến 2026-06-29:
| Đuôi | Lập trường cơ quan đăng ký | DNSSEC hợp lệ | Hỏng |
|---|---|---|---|
| .se (Thụy Điển) | Thúc đẩy (ưu đãi nhà đăng ký) | 18.38% | 30.35% |
| .no (Na Uy) | Thúc đẩy | 16.59% | 25.24% |
| .sk (Slovakia) | Thúc đẩy | 16.61% | 25.59% |
| .cz (Séc) | Thúc đẩy (ưu đãi nhà đăng ký) | 14.62% | 26.28% |
| .nl (Hà Lan) | Thúc đẩy (ưu đãi nhà đăng ký) | 11.86% | 22.98% |
| .fr (Pháp) | Thúc đẩy | 5.13% | 9.54% |
| .com | Buông lỏng | 1.62% | 2.44% |
| .de (Đức) | Buông lỏng | 0.92% | 1.60% |
| .uk (Vương quốc Anh) | Buông lỏng | 1.06% | 1.72% |
Mức 18.38% của Thụy Điển cao hơn mười lần mức 1.62% của .com. Khoảng cách này không phải về công nghệ — đâu cũng cùng một giao thức — mà về việc liệu có ai đó trong chuỗi có lý do để triển khai nó hay không.
Điểm bất lợi: hỏng nhiều hơn hoạt động
Đây là nửa khó chịu. Ở mọi đuôi do cơ quan đăng ký thúc đẩy ở trên, tỷ lệ hỏng cao hơn tỷ lệ hợp lệ — Thụy Điển có 30.35% hỏng so với 18.38% hợp lệ; Hà Lan 22.98% so với 11.86%. Trên toàn bộ các đuôi được thúc đẩy là 15.7% hỏng so với 9.1% hợp lệ.
Điều đó quan trọng vì DNSSEC hỏng không phải vô hại: một trình phân giải có xác thực sẽ từ chối phân giải một tên miền có chữ ký không kiểm tra được, nên một cấu hình sai có thể đưa tên miền ngoại tuyến — cả website lẫn email — đối với một phần của internet. Thúc đẩy việc áp dụng mà không thúc đẩy tính chính xác sẽ làm các sự cố mất kết nối mở rộng song song với sự bảo vệ. Đó là cùng một vấn đề thực thi mà toàn bộ web cho thấy trong nghịch lý DNSSEC, chỉ là được khuếch đại ở nơi có nhiều tên miền thử nghiệm hơn.
Vì sao chính sách của cơ quan đăng ký vượt trội hơn việc để mặc chủ sở hữu
DNSSEC không có sự kiện cưỡng bức nào cho một chủ sở hữu cá nhân: không có gì hỏng hay cảnh báo nếu bạn bỏ qua nó, nên trên một đuôi buông lỏng như .com, việc áp dụng duy trì phẳng quanh mức 1.62% vô thời hạn. Các cơ quan đăng ký thoát khỏi điều đó đã làm vậy thông qua kinh tế, không phải sắc lệnh — thường là ưu đãi cho nhà đăng ký (giảm giá hoặc hoàn tiền khi ký zone) cộng với tự động hóa của nhà cung cấp, chính là cách các cơ quan đăng ký Bắc Âu, Séc và Hà Lan nâng toàn bộ dân số tên miền của họ lên. Đó là một thí nghiệm tự nhiên rõ ràng: cùng giao thức, cùng độ khó, kết quả rất khác nhau — và khác biệt nằm ở chính sách của cơ quan đăng ký.
Bắt buộc hay ưu đãi — điều gì thực sự tạo ra thay đổi?
Chủ yếu là ưu đãi. Bất chấp cách diễn đạt “bắt buộc” mà câu hỏi thường được đặt ra, các đuôi có tỷ lệ áp dụng cao ở đây nhìn chung khuyến khích DNSSEC chứ không yêu cầu theo luật; các yêu cầu cứng rắn hiếm hơn (một số chính phủ yêu cầu nó cho các tên miền khu vực công). Bài học cho bất kỳ cơ quan đăng ký nào: căn chỉnh kinh tế của nhà đăng ký và tự động hóa hướng tới việc ký là hiệu quả — nhưng nó nên đi kèm với việc ký được quản lý và luân chuyển khóa, nếu không bạn chỉ tạo ra thêm các zone hỏng.
Câu hỏi thường gặp
Yêu cầu hay khuyến khích DNSSEC có thực sự làm tăng việc áp dụng không? Có — khoảng 7× trong dữ liệu của chúng tôi: 9.1% hợp lệ trên các đuôi do cơ quan đăng ký thúc đẩy so với 1.3% trên các đuôi buông lỏng, tính đến 2026-06-29.
Quốc gia hoặc TLD nào có nhiều DNSSEC nhất?
Trong số các đuôi lớn, Thụy Điển (.se) dẫn đầu với 18.38% hợp lệ — hơn mười lần mức 1.62% của .com.
Nếu việc áp dụng cao hơn, DNSSEC có được làm đúng không? Thường là không. Ở mọi đuôi có tỷ lệ áp dụng cao, DNSSEC hỏng nhiều hơn hợp lệ (15.7% so với 9.1% trên toàn bộ các đuôi được thúc đẩy) — và DNSSEC hỏng có thể đưa một tên miền ngoại tuyến.
Doanh nghiệp nhỏ có nên bật DNSSEC không? Chỉ nếu nó được quản lý đúng cách — một chữ ký hỏng còn tệ hơn không có. Hãy dùng một nhà cung cấp xử lý việc ký và luân chuyển khóa, và xác minh rằng nó xác thực được. Xem cách khắc phục DNSSEC.
Kiểm tra DNS của tên miền bạn
Xem DNSSEC của bạn hợp lệ, hỏng hay vắng mặt — và phần còn lại trong tư thế bảo mật của bạn — một cách riêng tư và miễn phí.
Kiểm tra tên miền của bạn → · Nghịch lý DNSSEC → · Ai vận hành DNS của internet? → · Khắc phục DNSSEC → · Chỉ dữ liệu tổng hợp. Dữ liệu được lưu trữ và xử lý tại EU.