帮助中心 / 域名管理
平台解析可一键开启 DNSSEC。外部 DNS 开启签名后，把 DS 或 DNSKEY 录到注册局。
DNSSEC 给 DNS 回答签名，用来发现传输途中被改过的记录。注册局不保存你的解析数据，只保存一把信任锚：多数后缀收 DS（密钥的摘要），有的后缀收 DNSKEY（公钥），由注册局换算成 DS。递归从根一路验到你的区，对不上就拒绝回答。
域名走平台解析时，可以在本页一键开启。系统会让权威 DNS 对这个区签名，并把 DS 或 DNSKEY 写到注册局。关闭时先撤掉注册局记录再停止签名。后缀不支持时会提示，不会留下半套配置。同步中表示区已经签名，注册局记录还在提交，这时解析仍按未签名回答。
服务商后台常见两种写法，都可以贴进域名详情「DNSSEC」的整行输入，页面会拆开并当场校验。下面是虚构示例，不能拿去提交。只给四个字段、不带前面的域名和 IN DS，也可以。
四个字段依次是：2371 为 Key Tag（这把密钥的编号，范围 0–65535）；13 为算法，13 是常见的 ECDSA P-256，表单默认也是 13；2 为摘要类型，2 是 SHA-256；最后一串是十六进制摘要。
摘要长度随类型变：1（SHA-1）40 个字符，2（SHA-256）64 个，3（GOST）64 个，4（SHA-384）96 个。长度不对页面会直接提示。不想粘贴整行时，也可以按这四项手填。
example.com. IN DS 2371 13 2 0123456789ABCDEF0123456789ABCDEF0123456789ABCDEF0123456789ABCDEF
2371 13 2 0123456789ABCDEF0123456789ABCDEF0123456789ABCDEF0123456789ABCDEF有的后缀不收 DS，只收公钥，注册局自己换算 DS；也有的两种都收。打开页面时以它标明的类型为准。两种都能选时，选「DS 记录」或「DNSKEY 记录」。下面同样是虚构示例。
257 是 KSK，用来签密钥，交给注册局的一般是这一种；256 是 ZSK，用来签普通记录。3 是协议，固定为 3。13 是算法，编号与 DS 相同。余下是 Base64 公钥。粘贴时页面会去掉空白。
example.com. IN DNSKEY 257 3 13 mdsswUyr3DPW132mOi8V9xESWE8jTo0dxCjjQx==
257 3 13 mdsswUyr3DPW132mOi8V9xESWE8jTo0dxCjjQx==DS 必须对应当前正在签名的那把密钥。摘要抄错，或服务商已经换了密钥而注册局还是旧 DS，递归会认为回答被篡改，返回 SERVFAIL。网站、邮箱和证书验证会一起失败。这时不签名也访问不了，因为注册局仍声明这个域应当有签名。
平台解析上点「关闭」，系统会先撤掉注册局记录再停止签名。外部 DNS 要整个关掉签名：先在服务商停止对该区签名，再回这里点「清除全部」。顺序反了，清空之前的那一段时间同样是 SERVFAIL。只删其中一条时，用该行的「删除」。
换密钥时新旧要有一段重叠，避免中间出现空窗：
有的上游会在更换 NS 或转入完成后，按当前有没有签名自动写入或清除注册局 DS。页面会出现「该上游会在更换 NS 后自动同步注册局 DS，手工添加的记录可能被覆盖。」这类域名以自动结果为准。
每个域名最多 8 条。平时 1 到 2 条就够（一把 KSK，或 SHA-256 与 SHA-384 各一条）；轮换双签时新旧并存，一般不超过 4 条。
添加、删除和清除全部都要二次验证，每次变更写入该域名的解析历史。安全冻结或过期暂停时不能改。上游不支持时，标签页会说明。
2026 年 3 月起，证书厂商对已经启用 DNSSEC 的域名会核验这条链。DS 配错会导致证书域名验证失败，先按上面的顺序改好再申请或重签。证书验证方式见域名验证与 CNAME 委托。
Glue 解决的是另一件事：NS 主机名指回本域名时，解析器先去哪台机器。见Glue 记录。
没有解决？页面右下角「客服」可与 AI 客服对话，登录后可转人工；也可联系我们。