DNS根区计划于2026年10月11日更换密钥签名密钥（KSK）。Cloudflare在10月6日的博客文章中表示，这将是DNS根区历史上第二次KSK轮换。执行DNSSEC验证的解析器需要在切换前信任新密钥KSK-2024，否则原本正常的网站也可能变得无法访问。
这次变化涉及DNSSEC信任链的起点。DNSSEC让解析器通过数字签名核验DNS记录的真实性，并确认记录未被更改。从DNS根区到顶级域，再到具体域名，上级通过包含下级公钥指纹的委派签名者（DS）记录逐级确认密钥。根区没有上级，因此解析器必须从一个已经信任的根公钥或其指纹开始验证，这就是“信任锚”。
根区的两类签名密钥职责不同：区域签名密钥（ZSK）签署根区的DNS记录，包括顶级域的DS记录；KSK则签署根区公布的公钥列表，即DNSKEY记录集。解析器先用可信的KSK验证这份列表，再用列表中的ZSK验证根区其他记录。此次计划更换的是KSK。
新密钥提前公布，并不代表解析器一定保留了对它的信任。Cloudflare回顾2018年首次根KSK轮换时表示，曾观察到解析器在软件升级或迁移机器后，丢失此前学到的新密钥信任信息。针对本次轮换，文章要求运行DNSSEC验证解析器的运营者确认其信任KSK-2024；若缺少该密钥，应按软件供应商的说明更新信任锚。
适用范围并非所有网站运营者。Cloudflare表示，多数网站运营者无需调整；使用Cloudflare管理域名DNS，或依赖1.1.1.1、Gateway DNS的用户也无需操作，其系统已信任KSK-2024。Cloudflare还提供轮换准备情况测试，依据RFC 8509询问浏览器所使用的解析器是否信任新密钥，并已在1.1.1.1中实现这一机制。
原始来源：The keys to the Internet change on October 11. Are you ready?