DNSSEC 是什么？开启之前先核对 DNS 与注册商支持

DNSSEC 用于验证 DNS 回答的真实性与完整性。它不是网站 HTTPS 证书，也不是给 DNS 内容加密。因此，开了 DNSSEC 后，网站仍需要正确的 HTTPS 配置和应用安全设置。

先确认整条支持链

启用前核对域名后缀、注册商和权威 DNS 服务商的支持方式。DNS 服务商负责签名配置，注册商侧通常还涉及把相应 DS 信息发布到父区。只在一个面板点开开关，而另一侧没有完成匹配，并不代表整条验证链已建立。

避免直接复制另一域名的参数

DS、密钥等信息需要与当前域名和当前 DNS 服务商配置对应。不要使用旧截图中的值，也不要把一个域名的参数用于另一个域名。保存供应商给出的当前状态与设置说明，再按流程完成注册商侧配置。

迁移 DNS 时单独安排 DNSSEC

如果父区仍保留旧 DS，而新服务商未提供匹配的签名配置，支持验证的解析器可能返回失败。迁移时应按服务商的迁移流程协调旧、新配置，而不是简单把 Nameservers 换掉后再碰运气。

验收清单

• 注册商与 DNS 服务商显示的状态是否对应。
• 实际查询是否能建立有效验证链。
• 网站及主要子域名是否仍可访问。
• 后续密钥更新与管理责任是否明确。

对不熟悉签名迁移的团队，先请服务商确认步骤。不要把 DNSSEC 当成提高搜索排名的开关；它解决的是 DNS 验证问题。