DNSSEC 自 1997 年引入至今，.com/.net/.org 顶级域下仅约 1% 域名完成部署，且超 30% 部署域名因缺失 DS 记录而配置错误。文章剖析了注册商与注册局协作环节的结构性障碍，指出密钥提交流程的断裂是导致部署失败的核心原因。
信任链构建与部署现状：
DNSSEC 通过公钥基础设施为 DNS 记录提供真实性验证：每个域名持有私钥签名记录生成 RRSIG，公钥发布于 DNSKEY，父区域对子区域 DNSKEY 的哈希值（DS 记录）签名，层层上溯至根区域已知公钥，形成信任链。然而实测显示，.com/.net/.org 三大通用顶级域中仅约 1% 域名启用 DNSSEC，其中超过 30% 因 DS 记录缺失导致信任链断裂，实际可用率更低。原文未给出具体数据说明其他顶级域的部署情况。
DS 记录提交的注册商瓶颈：
DS 记录必须上传至父区域注册局，但域名持有者无法直接访问注册局，仅 ICANN 认证的注册商拥有写入权限。这意味着无论权威域名服务器由谁运维、DS 记录由谁生成，最终都必须经由注册商转交注册局。若权威服务器由注册商自行管理，注册商可直接写入 DS 记录；但若域名使用第三方 DNS 服务商，注册商需提供接口接收外部 DS 记录并转交注册局。原文未给出具体数据量化不同托管模式下的成功率差异。
协作链条断裂导致的配置失效：
部署失败的根源在于多方协作链条的任一环节缺位：域名持有者生成密钥对、DNS 运维方签名记录、注册商接收 DS 记录、注册局发布 DS 记录，四个角色中任一方未正确履行职责即导致信任链中断。注册商若未提供 DS 记录提交接口，或 DNS 运维方未将 DS 记录传递给注册
原文: APNIC Blog（2017-12-06）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog