DNSSEC 作为 DNS 安全框架虽已成熟，但其部署程度长期缺乏可复现的量化指标。APNIC Labs 最新测量尝试建立精确度量体系，揭示递归解析器与权威签名两端采纳度均呈碎片化分布，验证端与签名端均未形成规模化部署。
协议演进与 DNSSEC 定位：DNS 基础规范源自 1987 年 11 月发布的 RFC 1034 与 RFC 1035，四十年间衍生出 292 份相关 RFC。DNSSEC 通过为资源记录附加数字签名，使客户端可验证回答的真实性与时效性，被视为该时期 DNS 领域的核心创新。但协议层面的就绪并未转化为部署层面的普及。
验证端采纳现状：运营商级递归解析器普遍不愿增加请求签名与验证的解析步骤，网络边缘的存根解析器极少具备 DNSSEC 验证功能。原文未给出具体部署比例数据，仅以"very few"描述边缘验证覆盖面。
签名端与度量难点：区域签名采纳度呈"variable"分布，缺乏统一指标。度量面临固有复杂性：需区分签名存在与验证实际执行、处理缓存与转发链路差异、排除未签名区域的干扰。APNIC Labs 近期贡献旨在建立可随时间追踪的重复性测量方法，但原文未给出最新测量的具体数值或覆盖范围。
对运维工程师而言，现状提示：部署 DNSSEC 需同步解决递归验证开销与存根解析器能力缺失两大瓶颈；监控体系应引入可复现的签名覆盖率与验证通过率指标，而非依赖模糊的采纳描述。
原文: APNIC Blog（2023-09-18）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog