如何在 Namecheap 上設定 DNSSEC

在 Namecheap 中啟用 DNSSEC，讓任何人都無法偽造你的 DNS 應答、把你的訪客或郵件改道。

這對你的業務意味著什麼

每當有人打開你的網站或給你傳送郵件，他們的電腦都會向 DNS 系統詢問到哪裡找你。這些應答通常未經簽章傳輸，因此能夠干擾查詢的攻擊者可以悄悄把你的訪客送往仿冒網站，或把你的郵件改道到他自己的伺服器上——而地址列裡始終顯示著你真正的網域。

DNSSEC 把這扇門關上。它用密碼學方式為你的 DNS 應答簽章，於是任何查詢你的人都能確認應答確實來自你、且一路上未被篡改。說得直白一點：它能防止網域劫持和快取投毒——這些正是把你自己的網域變成對付客戶的武器的攻擊。它免費，而當 Namecheap 負責你的 DNS 時，幾乎只需一鍵。

DNSSEC 的工作原理（以及為什麼 Namecheap 可以很簡單）

DNSSEC 分兩半：DNS 託管方為你的記錄簽章，並發布金鑰（一條 DNSKEY）以及一個被稱為 DS 記錄的小型指紋；註冊商則把這條 DS 記錄登記到上層區域，讓網際網路的其餘部分信任這些簽章。

當 Namecheap 同時是你的註冊商和 DNS 託管方時——也就是你的網域使用 Namecheap BasicDNS / PremiumDNS——Namecheap 用一個開關就處理好這兩半。它為區域簽章，並替你把 DS 記錄發布到信任鏈上。當你的 DNS 託管在別處時，你則需手動把那家託管方的 DS 記錄複製到 Namecheap。

真正的風險——請按順序操作

設定錯誤時，DNSSEC 可能讓你的網域下線。這種情況有兩種成因：

登記在註冊商處的 DS 記錄與 DNS 託管方實際簽章所用的金鑰不匹配。
在沒有先移除 DS 記錄的情況下，就把 DNS 遷往另一家託管方（或關閉簽章）——殘留的 DS 記錄會繼續索要早已不存在的簽章，導致查詢失敗。

所以：如果你要把 DNS 從 Namecheap 遷走、或不再用 Namecheap 的網域伺服器，請先關閉 DNSSEC 並清除 DS 記錄，再遷移。 按下面的流程依序操作即可保證安全。

先確認 Namecheap 在為你解析 DNS

查看是什麼在回應你網域的 DNS。在 Namecheap 帳戶中打開網域，在 Domain 標籤頁查看**網域伺服器（Nameservers）**設定：

如果它設為 Namecheap BasicDNS 或 Namecheap Web Hosting DNS / PremiumDNS，則 Namecheap 託管你的 DNS——使用一鍵流程。
如果它顯示為指向另一家服務商的 Custom DNS，則那家服務商託管你的 DNS——先在那裡啟用 DNSSEC，然後把它給你的 DS 記錄新增到 Namecheap。

Namecheap 上的操作步驟（Namecheap 既是註冊商又是 DNS 託管方）

登入 Namecheap。
進入網域列表（Domain List），在你的網域旁點擊 Manage。
打開 Advanced DNS 標籤頁。
滾動到 DNSSEC 區域。
把 DNSSEC 切換為開（on）。
確認。使用 Namecheap 自己的 DNS 時，Namecheap 會為區域簽章並替你把 DS 記錄發布到信任鏈上——沒有任何東西需要複製到別處。

當你的 DNS 託管在別處時的操作步驟

如果 Namecheap 是你的註冊商，但另一家公司託管你的 DNS：

先在你的 DNS 託管方處啟用 DNSSEC，並複製它生成的 DS 記錄值——通常包括 Key Tag、Algorithm、Digest Type 和 Digest。
在 Namecheap 中打開網域，進入 Advanced DNS 標籤頁，再到 DNSSEC 區域。
新增一條 DS 記錄，把你 DNS 託管方給的值原樣填入對應欄位。
儲存。DS 記錄現已登記到上層區域，信任鏈完成。

Namecheap 上人們常踩的坑

只有 Namecheap 同時託管你的 DNS 時，這個開關才能把一切做完。 在 Custom DNS 模式下，光撥動它是不夠的——你必須把來自真正 DNS 託管方的 DS 記錄貼上。
不要重複簽章。 如果你的外部 DNS 託管方已經為區域簽章，那麼你在 Namecheap 處只需填入它的 DS 記錄——不要再啟用 Namecheap 自己的簽章。
DS 值要逐字元複製。 Digest 裡哪怕錯一位，DS 都會與簽章不匹配，而這正是導致網域下線的原因。請貼上，絕不要手敲。
演算法和摘要類型的數字要與你 DNS 託管方報告的一致——不要猜。
更改網域伺服器前先關閉 DNSSEC。 帶著殘留的 DS 記錄切換 DNS 託管方，是讓網域下線的經典手法。
給它一點時間。 變更完全傳播需要幾分鐘到一天不等。

驗證是否生效

DNSSEC 開啟後（且任何 DS 記錄都已就位），執行本站的免費檢測。它會用淺顯易懂的語言告訴你 DNSSEC 是否已正確發布並對你的網域受信。

完成了？免費檢查您的網域以確認設置已生效——並查看您在全部 34 項檢查中的完整評級。