Cloudflare 用负信任锚绕开 .de 的 DNSSEC 故障 RSS

接着 .de 顶级域的事故，Cloudflare 补上了解析器一侧的处置细节：观察到 .de 的 DNSSEC 签名有问题后，为 1.1.1.1 对 .de 临时挂上负信任锚，让用户在 DENIC 修复期间仍能解析部分域名。一个顶级域的签名错误就能让大量正常站点在做验证的解析器前不可达。依赖 DNSSEC 的团队不该只盯权威 DNS，还要从多个验证解析器的角度监测 SERVFAIL。

发布于 2026-09-10T10:59:40.112962Z · Cloudflare · Cloudflare 博客

DNSSEC 故障 解析器

接着 .de 顶级域的事故，Cloudflare 补上了解析器一侧的处置细节：观察到 .de 的 DNSSEC 签名有问题后，为 1.1.1.1 对 .de 临时挂上负信任锚，让用户在 DENIC 修复期间仍能解析部分域名。一个顶级域的签名错误就能让大量正常站点在做验证的解析器前不可达。依赖 DNSSEC 的团队不该只盯权威 DNS，还要从多个验证解析器的角度监测 SERVFAIL。

接着 .de 顶级域的事故，Cloudflare 补上了解析器一侧的处置细节：观察到 .de 的 DNSSEC 签名有问题后，为 1.1.1.1 对 .de 临时挂上负信任锚，让用户在 DENIC 修复期间仍能解析部分域名。一个顶级域的签名错误就能让大量正常站点在做验证的解析器前不可达。依赖 DNSSEC 的团队不该只盯权威 DNS，还要从多个验证解析器的角度监测 SERVFAIL。

原始来源 ↗

来源记录

• center.info_item · a4ecfde3b98c23eb · 2026-10-03T04:08:35.169032Z
• pgweb.info_item · a4ecfde3b98c23eb · 2026-10-03T04:08:55.967155Z