DNS root sẽ đổi khóa ký gốc vào ngày 11/10/2026
"The DNS root is scheduled to undergo a key-signing key (KSK) rollover on October 11, 2026, replacing KSK-2017 with KSK-2024 (key tag 38696) as the signer of the root DNSKEY set. DNSSEC-validating resolvers must trust the new root key in advance, or otherwise healthy domains may become unreachable; the fix is to ensure trust-anchor updates are in place, with RFC 5011 enabling automatic learning and RFC 8509 providing a sentinel-based readiness check."
Ảnh hưởng trực tiếp đến xác thực DNSSEC; nếu resolver chưa tin KSK-2024, có thể phát sinh SERVFAIL và làm gián đoạn truy cập dù miền vẫn hoạt động.
Có thể gây gián đoạn truy cập dịch vụ và ảnh hưởng người dùng cuối nếu hạ tầng DNS nội bộ chưa cập nhật; cần kiểm tra sớm để giảm rủi ro vận hành.
Ngày 11/10/2026, DNS root dự kiến thực hiện KSK rollover lần thứ hai, chuyển từ KSK-2017 sang KSK-2024 (key tag 38696) để ký tập DNSKEY của vùng gốc. Đây là thay đổi quan trọng trong chuỗi tin cậy của DNSSEC: nếu một DNSSEC-validating resolver chưa tin cậy khóa mới, các miền vẫn hoạt động bình thường có thể bị coi là không xác thực và trở nên không truy cập được.
Phần lớn quản trị viên website không cần thay đổi gì nếu chỉ dùng DNS thông thường. Tuy nhiên, nếu bạn vận hành DNS resolver có kiểm tra DNSSEC, cần xác nhận rằng trust anchor đã được cập nhật để tin cậy KSK-2024. Cơ chế RFC 5011 cho phép học khóa mới tự động, nhưng vẫn nên kiểm tra trạng thái thực tế trước thời điểm chuyển đổi.
Để đánh giá sớm, có thể dùng rollover readiness test dựa trên RFC 8509 và cơ chế root key trust anchor sentinel. Với người dùng Cloudflare DNS, 1.1.1.1 hoặc Gateway DNS, nhà cung cấp cho biết không cần thao tác bổ sung vì hệ thống đã tin cậy KSK-2024.
Khuyến nghị: kiểm tra cấu hình resolver, xác nhận cập nhật trust anchor, và thử bài kiểm tra sẵn sàng trước ngày chuyển đổi để tránh gián đoạn truy cập do lỗi xác thực DNSSEC.