Automatické aktualizace důvěryhodných klíčů mohou selhat při migraci nebo ztrátě uloženého stavu. Provozovatelé validujících resolverů potřebují ověřit, že jejich systémy skutečně důvěřují novému klíči KSK-2024.

Root.cz 9. října 2026 upozornil na výměnu podpisového klíče kořenové zóny DNS naplánovanou na 11. října. Nový KSK-2024 s identifikátorem 38696 má nahradit KSK-2017, jehož identifikátor je 20326. Jde o změnu výchozího bodu důvěry pro DNSSEC, nikoli o požadavek, aby všichni vlastníci domén měnili své podpisové klíče nebo záznamy DS. Technické okolnosti podrobně rozebral Cloudflare v článku z 6. října 2026, který slouží jako kontext k upozornění.

DNSSEC umožňuje ověřit podpisy DNS záznamů a navazující vazby mezi zónami. Resolver přitom musí začít u důvěryhodného kořenového klíče, protože kořenová zóna už nemá nadřazenou zónu, která by její klíč potvrdila. KSK podepisuje sadu veřejných klíčů kořenové zóny. Další z těchto klíčů, ZSK, podepisuje vlastní záznamy včetně delegací na domény nejvyšší úrovně. Jestliže resolver novému KSK nedůvěřuje, může odmítat jinak správně podepsané odpovědi a uživatelům se fungující služby jevit jako nedostupné.

KSK-2024 byl podle Cloudflare publikován v kořenové sadě DNSKEY již od 11. ledna 2025. Podpora RFC 5011 umožňuje resolverům naučit se nový důvěryhodný klíč automaticky: ověřují ho prostřednictvím dosavadního klíče a před jeho přijetím čekají alespoň 30 dní. Dlouhá doba zveřejnění ale neprokazuje, že konkrétní instance nový klíč správně přijala a zachovala. Cloudflare připomíná zkušenosti z předchozí rotace, kdy aktualizace softwaru nebo přesun mezi stroji vedly ke ztrátě naučeného stavu.