DNS-OARC 36 会议记录了 Slack 在 2021 年 9 月 30 日尝试为 slack.com 启用 DNSSEC 时遭遇的 24 小时解析中断，且无法回滚，暴露了变更管理在关键基础设施上的风险。该事件在 DNS-OARC 36 上被详细复盘，成为运维团队在关键域名变更时必须吸取的教训。
变更管理与回滚失效
传统变更管理要求明确目标、可观测的成功指标与失败信号，并在出现异常时迅速回滚至原状态。Slack 在 2021 年 9 月 30 日为 slack.com 开启 DNSSEC 签名时，变更导致权威解析服务返回无效响应，造成全球用户 24 小时无法解析该域名。由于签名密钥已发布至父区且无法撤回，运维团队在事故期间无法执行回滚，只能等待 TTL 过期与密钥轮换完成。原文未给出具体的密钥轮换周期。
DNSSEC 部署动机与效用
Slack 引入 DNSSEC 的初衷是抵御 DNS 劫持与证书颁发机构被胁迫签发伪造证书的攻击。尽管 TLS 能在大多数情况下阻止中间人，但用户往往忽略证书不
原文: APNIC Blog（2021-12-07）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog