早稻田大学大规模调研显示，DNS安全机制的部署率主要取决于部署难度与成本。根服务器与顶级域在DNSSEC、DNS Cookies上领跑，热门网站在SPF、DMARC上普及率较高，而DANE采用率全数据集均不足1%。
调研范围与方法：
调研覆盖13个根服务器IPv4地址、13个传统gTLD、254个ccTLD及Tranco发布的前10K域名。按域名逐个测试IP地址，若观测到至少一个IP运行某机制，即判定该域名空间已采用。表1列出八种机制所需资源记录与签名：DNSSEC需RRSIG，DNS Cookies无需记录，CAA/SPF/DMARC/MTA-STS/TLSRPT均用TXT记录，DANE需TLSA记录。原文未给出具体部署百分比数据。
核心基础设施与应用层的分化：
根服务器与TLD在DNSSEC与DNS Cookies部署率显著高于普通域名。前10大网站在SPF与DMARC上领跑，反映邮件安全机制在商业驱动下普及更快。CAA、MTA-STS、TLSRPT三者部署情况原文未给出具体数据。DANE在所有数据集中采用率均低于1%，证书绑定机制推广受阻。
易部署与低成本机制优势明显：
调研结论指出，配置简单、无额外签名开销的机制（如SPF仅需一条TXT记录）采用率最高；需密钥管理、区域签名的DNSSEC虽在核心层普及，但向边缘域名渗透缓慢。DNS Cookies无需记录即可部署，在核心层同样领先。域名管理员应关注自动化工具以降低配置负担。
对运维工程师而言，优先部署SPF、DMARC、DNS Cookies等低门槛机制可快速提升安全态势；DNSSEC需配合自动化签名工具推广；DANE等复杂机制暂难大规模落地，建议评估成本收益后再决策。
原文: APNIC Blog（2021-11-26）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog