Defaults.Exposed › 报告

强制 DNSSEC 有效吗？注册局主导的采用揭示了什么（2026）

发布于 2026-06-29

数据截至 2026-06-29 · 方法论 v7。 跨 261 百万个已评级域名的汇总普查数据，按国家域名后缀划分（这是注册局政策的代理指标，而非公司所在地）。「注册局驱动」= 该后缀的注册局通过激励或要求积极推动 DNSSEC——多为对注册商的激励，而非法律强制。「有效」= 通过验证的 DNSSEC 链；「损坏」= 已签名但验证失败。参见我们如何评级。

让注册商推动 DNSSEC 真的能撬动采用率吗？能——而且是决定性的——但有个陷阱。 在注册局驱动 DNSSEC 的后缀上，9.1% 的域名拥有有效签名，而在将其留给所有者的后缀上仅为 1.3%——大约高出 7 倍。在自愿采用停滞之处，政策行之有效。陷阱在于：即便在领先者中，损坏 DNSSEC 的域名也多于正确配置的域名——因此注册局的压力解决的是打开它，而非正确地实施它。

推动 DNSSEC 能提高采用率吗？

毫无疑问。注册局驱动的国家后缀集中在约 10–18% 的有效 DNSSEC；放任自流的后缀则接近 1.99% 的全球底线。有效百分比越高越好；损坏百分比则是出错的代价。截至 2026-06-29：

瑞典的 18.38% 是 .com 的 1.62% 的十倍多。差距与技术无关——各处都是同一套协议——而在于链条中是否有人有理由去部署它。

陷阱：损坏的多于正常工作的

这是令人不安的另一半。在上述每一个注册局驱动的后缀中，损坏率都高于有效率——瑞典是 30.35% 损坏对 18.38% 有效；荷兰是 22.98% 对 11.86%。在所有驱动后缀整体上，是 15.7% 损坏对 9.1% 有效。

这很重要，因为损坏的 DNSSEC 并非无害：一个进行验证的解析器会拒绝解析签名校验不通过的域名，因此一次配置错误可能让该域名对互联网的一部分离线——网站和电子邮件都是如此。在推动采用而不推动正确性的同时，故障会随保护一起扩大。这与整个网络在DNSSEC 悖论中所呈现的执行问题相同，只是在更多域名尝试之处被放大了。

为什么注册局政策胜过留给所有者

DNSSEC 对单个所有者没有任何强制触发事件：你跳过它不会有任何东西损坏或发出警告，所以在像 .com 这样放任自流的后缀上，采用率会无限期地平稳停留在约 1.62%。突破这一点的注册局是通过经济手段，而非政令做到的——通常是对注册商的激励（为签署区域提供折扣或返利）加上提供商的自动化，北欧、捷克和荷兰的注册局正是借此提升了其全部群体。这是一个干净的自然实验：相同的协议、相同的难度、截然不同的结果——而差异就在于注册局政策。

强制还是激励——究竟什么真正起作用？

主要是激励。尽管这个问题通常以「强制」的框架提出，但这里高采用率的后缀通常是鼓励 DNSSEC，而非依法要求；硬性强制更为罕见（某些政府要求公共部门域名采用）。对任何注册局的教训是：将注册商经济与自动化向签署对齐是有效的——但应当与托管签署和密钥轮换搭配，否则你只是制造出更多损坏的区域。

常见问题

要求或激励 DNSSEC 真的能提高采用率吗？ 能——在我们的数据中约为 7 倍：注册局驱动的后缀上有 9.1% 有效，而放任自流的后缀上为 1.3%，截至 2026-06-29。

哪个国家或 TLD 的 DNSSEC 最多？ 在大型后缀中，瑞典（.se）以 18.38% 有效领先——是 .com 的 1.62% 的十倍多。

如果采用率更高，DNSSEC 是否正确实施？ 往往并非如此。在每一个高采用率的后缀中，损坏的 DNSSEC 都多于有效的（驱动后缀整体为 15.7% 对 9.1%）——而损坏的 DNSSEC 可能让域名离线。

小企业应该打开 DNSSEC 吗？ 只有在它被正确管理的前提下——损坏的签名比没有更糟。使用一个能处理签署和密钥轮换的提供商，并验证它确实通过校验。参见如何修复 DNSSEC。

检查你域名的 DNS

查看你的 DNSSEC 是有效、损坏还是缺失——以及你其余的安全态势——私密且免费。

检查你的域名 → · DNSSEC 悖论 → · 谁在运营互联网的 DNS？ → · 修复 DNSSEC → · 仅汇总数据。数据在欧盟存储和处理。