DNSSEC 故障致.AL 瘫痪，1.1.1.1 新机制揭秘

Another Entry in the "Stuff Im Glad Im Not Responsible for" Ledger

2026 年 7 月，阿尔巴尼亚顶级域名 .AL 因 DNSSEC 密钥轮换失误导致全网瘫痪。Cloudflare 迅速部署 Negative Trust Anchor（NTA）恢复服务，但传统方式无法告知用户验证已被绕过。此次事件中，1.1.1.1 首次引入 Extended DNS Error（EDE）代码 33，直接在响应中透明化 NTA 状态。这一创新让客户端能清晰区分正常解析与因安全策略暂停验证的响应，填补了 DNS 安全透明度的关键空白，为未来处理类似 .DE 或 .AL 级别的故障提供了新范式。

"安装 Negative Trust Anchor 是一项激进措施，我们暂停 DNSSEC 验证以确保持续可达，但代价是响应在此期间不再具备密码学验证保障。"