2021年SIDN更换HSM时评估密钥全丢场景。KSK生命周期长且每次备份均含，ZSK可能缺失。双数据中心采用主备签名器与HA集群HSM。密钥丢失将导致服务中断，RRSIG过期后域名解析失败，SOA记录最后失效。.nl区ZSK每90天轮换，若无法恢复ZSK将造成至少1小时中断，荷兰60%解析器验证DNSSEC。移除DS记录虽可发布无签名区但会使所有.nl域名不安全，导致DANE和SSHFP失效。OpenDNSSEC启用RequireBackup确保密钥备份后方可使用。
原文: APNIC Blog（2022-02-14）｜摘要由 AI 辅助整理，事实以原文为准。
来源：APNIC Blog