了解设置涉及的两端
DNSSEC 依赖 DNS 区域和注册商中的信息相匹配。区域发布签名数据，注册商保存与签名密钥对应的 DS 值。
如果两者不一致，执行验证的解析器可能拒绝响应，即使普通 DNS 记录看起来正确，域名也可能无法访问。
在控制面板启用 DNSSEC 时，系统可能会提供需要发布的 DS 值，但不一定会替你把它添加到注册商。请按域名注册商的说明操作，并在那里核对 DS 值。不要重复使用其他域名或旧区域配置中的 DS 值。
更改设置时遵循安全顺序
启用时，先确认权威 DNS 区域已启用并完成签名，再到注册商发布匹配的 DS 信息并核实。停用时，应先在注册商删除 DS，再关闭区域签名。顺序相反可能导致 DS 仍指向不再签名的区域。
更改后检查公开 DNSSEC 状态，并通过支持验证的解析器测试域名解析。如果域名无法解析，先比较 DS 记录和当前签名信息，再做其他更改。
DNSSEC 保护 DNS 响应的完整性；它不会加密网站流量，也不能替代 HTTPS。