DNS-roden udskifter sin key-signing key den 11. oktober

Den 11. oktober 2026 udskifter DNS-rodens zone sin key-signing key (KSK) for kun den anden gang i historien. Nøglen er udgangspunktet for DNSSEC's kæde af tillid, som lader DNS-resolvere bekræfte svar med kryptografiske signaturer. Den nye nøgle, KSK-2024 med key tag 38696, afløser KSK-2017 med key tag 20326. Ifølge Cloudflare skal de fleste webstedsejere ikke gøre noget. Drives der derimod en selvstændig DNSSEC-validerende resolver, skal den have tillid til KSK-2024, og eventuelle manglende trust anchors skal opdateres efter leverandørens anvisninger. Brugere af Cloudflares DNS, 1.1.1.1 eller Gateway DNS skal ikke foretage sig noget, da disse systemer allerede har tillid til den nye nøgle. Cloudflare har bygget en rollover readiness test, der via RFC 8509 spørger browserens resolver, om den kender den nye nøgle. Testen er implementeret i 1.1.1.1 forud for skiftet.