了解签名信任链
DNSSEC 验证依赖从父区域 DS 记录到子区域 DNSKEY 及其签名记录的信任链。注册商、DNS 托管商和中间服务必须发布相互匹配的信息。
更换服务商、轮换密钥或转移域名时，要确认由谁负责签名及 DS 更新。如果父区域保留旧 DS，而子区域已使用其他密钥，验证解析器可能返回失败。
谨慎启用并持续维护
确认 DNS 服务商支持该区域的 DNSSEC，并提供密钥轮换和注册商更新说明。按服务商规定的步骤操作，因为控制方式和时间安排可能不同。
启用后使用 DNSSEC 验证工具并查询多个解析器；更换服务商或注册商后再次检查。准备好快速修正过期 DS 记录的方案，不要在信任链启用时随意移除签名记录。