DNSSEC：给域名解析上一把锁

设想一个场景：你输入了正确的银行网址，但中间的DNS解析被劫持，把你引到了一个一模一样的钓鱼站——地址栏的域名完全正确，页面也完全一样。这不是科幻：DNS协议设计之初没有内置安全保护，攻击者可以伪造DNS响应、注入缓存投毒，把用户导向欺诈网站。DNSSEC就是为了堵住这个漏洞而生的——它给DNS记录加上加密签名，让解析结果可验证、不可伪造。这篇讲清楚它是什么、为什么需要、怎么开启。

DNSSEC到底在防什么DNSSEC的全称是域名系统安全扩展——它在DNS记录中添加加密签名，接收方可以验证这条解析记录确实来自权威的域名所有者，而不是被中间人篡改过的伪造信息。没有DNSSEC的DNS查询像一封没有签名的信：你收到的内容可能被任何人替换过，但你无从验证。有了DNSSEC，每条DNS响应都附带数字签名，验证不通过就拒绝——这把互联网的地址查询从「信任但无验证」升级到了「验证后才信任」。DNSSEC防护的典型攻击包括：缓存投毒——向DNS缓存注入伪造记录，影响部分用户；DNS劫持——篡改域名解析记录，把流量导向恶意站点。近年来十余个DeFi项目官网同时遭遇DNS劫持的案例，再次证明了这类攻击的现实威胁。

开启DNSSEC的三个步骤第一步，生成密钥对：DNSSEC使用公钥私钥体系——私钥用来签名DNS记录，公钥发布在DS记录中供验证方使用。第二步，在DNS管理平台开启DNSSEC：主流域名注册商和DNS服务商已支持一键开启——控制台里找到DNSSEC选项，确认即可，签名和密钥管理由平台自动处理。第三步，在域名注册商处添加DS记录：DS记录是连接你的域名和父域信任链的桥梁——从DNS服务商获取DS记录的摘要数据，到注册商的域名管理后台添加。添加完成后，全球DNS解析链路就能对你的域名做端到端的签名验证了。

开启前的两个注意事项其一，确认你的DNS服务商支持DNSSEC——如果DNS托管在不支持DNSSEC的服务商处，需要先迁移。其二，DS记录的同步有生效周期——添加后等待全球DNS系统完成同步，验证生效后再删除旧的解析记录。开启过程中如果出错，可能导致域名解析失败，所以在业务低峰期操作、留好回滚方案。

DNSSEC与HTTPS的关系经常有人问：我已经上了HTTPS证书，还需要DNSSEC吗？答案是两者防护的层次不同。HTTPS加密的是浏览器到服务器之间的通信，防止传输过程被窃听和篡改；DNSSEC保护的是域名解析过程，防止你被引到错误的服务器。打个比方：HTTPS确保你跟真正的银行安全通话，DNSSEC确保你拨打的电话号码本身就是银行的——如果号码被劫持了，你跟钓鱼站建立的HTTPS连接再安全，也是跟骗子的安全连接。两者配合，才是完整的链路安全。

该不该开启对于高价值域名——金融、电商、品牌官网——开启DNSSEC是安全基线的一部分，成本为零（主流服务商免费支持），收益是堵住一类实际存在的攻击面。对于普通个人域名，如果DNS服务商支持一键开启，顺手开了也没有坏处。唯一要注意的是DS记录的管理别出错——出错比不开更麻烦。安全从来不是单点，DNSSEC是域名安全拼图中便宜又有效的一块。