DS-запись

Название расшифровывается как Delegation Signer — «подписант делегирования». Запись лежит не у вас, а уровнем выше: DS домена example.com хранится в зоне .com и подписана её ключом. Поэтому её нельзя добавить в собственной панели DNS-записей — её передают в реестр через регистратора. Резолвер, получив от родителя подписанную DS, проверяет, что хеш совпадает с ключом из DNSKEY вашей зоны, и только после этого доверяет её подписям.

Формат записи

example.com. 86400 IN DS 2371 13 2 (
    1F987CC6583E92DF0890718C42A4F1B4
    3A4B0E5A1E2D3C4B5A69788766554433 )

• 2371 — тег ключа, короткий номер, по которому его проще найти;
• 13 — алгоритм ключа, тот же, что в DNSKEY;
• 2 — тип хеша, здесь SHA-256; устаревший тип 1 (SHA-1) использовать уже не рекомендуют;
• дальше — сам хеш.

Откуда взять DS

Если DNSSEC включает DNS-провайдер, он показывает готовые значения в панели: их копируют в кабинет регистратора в форму DNSSEC. Когда зона подписывается на собственном сервере, DS вычисляют утилитой BIND из файла открытого ключа:

dnssec-dsfromkey -a SHA-256 Kexample.com.+013+02371.key

Проверить, что DS уже опубликована у родителя, можно командой dig DS example.com +short.

Ошибки, после которых домен пропадает

• DS осталась у регистратора после отключения DNSSEC или смены DNS-провайдера. Проверяющие резолверы вместо адреса возвращают ошибку SERVFAIL.
• При смене KSK старый ключ убрали из зоны раньше, чем из кешей резолверов ушла прежняя DS.
• Скопировали хеш с ошибкой или указали не тот алгоритм.

Обновление DS без ручного копирования возможно через CDS-запись, если реестр её поддерживает.