В понеделник вписахме DS запис за нашия сайт и DNSSEC при нас заработи. В неделя се сменя ключът, на който стъпва цялата верига над нас.
Коренът няма родител, който да го удостовери. Затова резолвърът, програмата, която търси адреса на сайта вместо устройството ти, започва проверката от ключ, на който вярва отнапред, а точно този ключ се сменя.
Факт
Фактите: на 11 октомври 2026 г. новият ключ за подписване на ключовете (KSK) на DNS корена, KSK-2024 с идентификатор (key tag) 38696, е планиран да поеме от KSK-2017 (идентификатор 20326) подписването на списъка с публични ключове на корена. Това е втората смяна на ключа на корена след първата през 2018 г.; KSK-2017 подписва от 11 октомври 2018 г. според IANA. KSK-2024 е генериран на 26 април 2024 г. и е публикуван в корена от 11 януари 2025 г.; по данни на IANA резолвърите с автоматично обновяване по RFC 5011 е трябвало да започнат да му вярват от 10 февруари 2025 г. ICANN напомня на операторите на резолвъри с DNSSEC проверка да потвърдят, че KSK-2024 е в конфигурацията им, и да не приемат, че автоматичното обновяване е сработило; ако ключът липсва, да проверят дали автоматичните обновявания са включени и да следват указанията на доставчика на софтуера. Cloudflare пише, че повечето оператори на сайтове не трябва да правят нищо. Клиентите на нейния DNS, на 1.1.1.1 и на Gateway DNS също, защото системите ѝ вече вярват на KSK-2024.
Цената на пропуска е ясна. Ако резолвър не вярва на новия ключ, потребителите му може да не стигат до сайтове под никой домейн от най-високо ниво, пише Cloudflare, макар сайтовете да работят нормално.
Грешката няма да е в сайта. Ще е в резолвъра, който не е повярвал навреме.
Повечето хора не правят нищо. Ако просто държиш сайт или ползваш чужд резолвър, това не те касае. Остават тези, които въртят собствен резолвър с DNSSEC проверка. Новият ключ седи в корена от януари 2025, а резолвърът чака поне 30 дни, преди да му повярва. ICANN обаче иска да не се приема, че това е сработило.
Тестът за готовност е на dnstest.dev/ksk-2024. Той пита резолвъра, който ползва браузърът ти, дали вярва на KSK-2024. Неубедителният резултат не значи, че ключът липсва: значи, че тестът не е успял да установи дали резолвърът поддържа проверката. Secure DNS или VPN в браузъра също могат да сменят резолвъра, който проверяваш.
Старият ключ не изчезва в неделя. По плана на ICANN той се отменя и се маха от корена през първото тримесечие на 2027, а през второто и третото тримесечие се изтрива от двете съоръжения за управление на ключове.
Въртиш резолвър с DNSSEC? Провери го преди неделя, 11 октомври. След нея грешката ще я усетят другите.
Официални първоизточници
Cloudflare - The keys to the Internet change on October 11. Are you ready?, 06.10.2026ICANN - Root Zone KSK Rollover 11.10.2026: Reminder for Resolver OperatorsIANA - DNSSEC Trust Anchors and RolloversICANN - Root Zone KSK Rollover FAQ (2026)Визуалът към статията е генериран код-арт, без чужди изображения.