11 октября 2026 года корневая зона DNS перешла на ключ подписи KSK-2024. Это подтверждает актуальная страница IANA о доверенных ключах DNSSEC: новый ключ отмечен как активный, а прежний KSK-2017 больше не используется для подписания. Сведения проверены утром 12 октября. Речь идёт об обновлении инфраструктуры проверки DNS, от которой зависит получение достоверных адресов интернет-сервисов.
Что изменилось 11 октября
Идентификатор нового ключа — 38696, прежнего — 20326. KSK подписывает набор открытых ключей корневой зоны, через который DNSSEC-резолвер проверяет дальнейшую цепочку доверия. Поэтому для перехода важно наличие нового доверенного ключа у серверов, выполняющих такую проверку. Само доменное имя сайта, его адрес в браузере и содержимое страниц из-за этой процедуры менять не требуется.
По данным IANA, KSK-2017 подписывал данные с 11 октября 2018 года до 11 октября 2026 года. Сейчас он находится в состоянии Post-Publication и пока остаётся допустимым якорем доверия. Это не означает, что он продолжает создавать новые подписи: прекращение использования ключа и его окончательное удаление — разные этапы.
Зачем DNS нужен доверенный ключ
В разъяснении Cloudflare от 6 октября 2026 года описана роль DNSSEC: цифровые подписи позволяют резолверу проверять подлинность DNS-данных. Проверка движется по цепочке от корневой зоны к доменной зоне и далее к конкретному домену. Корень не имеет вышестоящего участника, поэтому исходному ключу резолвер должен доверять заранее.
Смена KSK сама по себе не является переходом на новый криптографический алгоритм. Cloudflare указывает, что и KSK-2017, и KSK-2024 используют RSA/SHA-256. Также её не следует называть внедрением постквантовой защиты корня DNS: обсуждение будущих алгоритмов — отдельная работа.
Почему автоматического обновления бывает недостаточно
Механизм автоматической смены якорей доверия описан в RFC 5011. Он предусматривает период наблюдения за новым ключом, прежде чем тот будет принят. В обычном сценарии ожидание составляет не менее 30 дней. Такая пауза — часть проверки доверия, а не признак задержавшегося обновления сервера.
ICANN рекомендует операторам резолверов убедиться, что ключ 38696 действительно присутствует в конфигурации. Нельзя считать успешное автоматическое обновление установленным фактом без проверки. Если ключа нет, следует использовать инструкции поставщика конкретного DNS-сервера.
В материале Akamai от 8 октября 2026 года перечислены возможные причины проблем: восстановление системы из старого образа, недоступное для записи хранилище ключей и забытые встроенные резолверы. Компания предлагает проверять не только файл с настройками, но и ключи, загруженные работающим процессом, а затем — разрешение имён из сетей пользователей.
Что это означает для сайтов и пользователей
Cloudflare сообщает, что пользователям её DNS-сервисов 1.1.1.1 и Gateway DNS дополнительные действия для этой смены ключа не требуются: системы заранее доверяют KSK-2024. Это заявление относится к указанным сервисам и не подтверждает готовность каждого другого DNS-сервера в интернете.
Отсутствующий якорь доверия способен привести к ошибкам проверки и ответам SERVFAIL. При этом, как поясняет Akamai, проблемы отдельного домена могут иметь и другие причины: например, истёкшую подпись или несовпадение записей DS и DNSKEY. Поэтому любой сбой открытия сайта после 11 октября нельзя автоматически объяснять сменой корневого ключа.
Какие этапы ещё впереди
В графике IANA отзыв KSK-2017 запланирован на 11 января 2027 года, а удаление из корневой зоны — на 22 марта 2027 года. Эти будущие действия пока не состоялись. Подтверждённая новость за 11 октября 2026 года — начало использования KSK-2024 для подписи; общую статистику сбоев по всему интернету приведённые источники не устанавливают.
