網際網路的安全運作仰賴許多不易被大眾察覺的基礎機制，其中 DNS 根金鑰輪替是維持網域名稱系統安全的重要工作。APNIC（亞太網路資訊中心）於 2026 年 10 月 9 日發布文章，在根金鑰輪替前透過相關測量資料觀察全球 DNS 解析器是否已準備好接受新金鑰；依 IANA 後續公告，新的根金鑰 KSK-2024 已於 10 月 11 日正式開始簽署 DNS 根區域。測量結果顯示，仍有部分解析器可能尚未將新金鑰納入信任錨，提醒網路服務供應商持續檢查相關設定，以降低 DNSSEC 驗證異常的風險。
DNS（網域名稱系統）負責將網域名稱轉換為 IP 位址，讓使用者能夠順利瀏覽網站。為了提升 DNS 的安全性，DNSSEC 透過數位簽章驗證 DNS 資料的真實性，而根金鑰則是整套驗證機制的重要基礎。由於根金鑰沒有上層金鑰可以驗證，因此輪替過程舊中KSK 會對包含新 KSK 的 DNSKEY 資料進行簽署，並預留足夠時間，讓採用自動信任錨更新機制的 DNS 解析器取得並信任新金鑰。
此次輪替並非更換加密演算法，而是更新一組新的公鑰與私鑰。新金鑰 KSK-2024 早在 2024 年便已公開，並於 2025 年加入根區域的 DNSKEY 資料，經過近兩年的準備期後，於 2026 年 10 月 11 日正式取代舊金鑰執行根區域 DNSKEY 資料的簽署。為了解各地解析器的準備情況，相關測量主要採用 RFC 8145 與 RFC 8509 所定義的兩種觀察方法，藉此判斷解析器是否已將 KSK-2024 納入信任錨集合。
不同測量方法所得結果有所差異。根據 RFC 8145 訊號的分析，約 90% 有回報的解析器已將 KSK-2024 加入信任錨集合；APNIC 另透過 RFC 8509 Root Key Trust Anchor Sentinel 進行大規模測量，在可明確判斷支援該機制的測試中，約 70% 顯示已信任新金鑰。研究進一步列出 KSK-2024 接受率最低的 50 個網路，提醒相關網路營運者進一步確認 DNS 設定及解析器的信任錨更新情形。
對一般使用者而言，根金鑰輪替通常不需要自行修改電腦或手機設定；對採用 RFC 5011 自動更新信任錨機制且設定正常的 DNSSEC 驗證解析器而言，新金鑰也應能自動完成信任更新。不過，若網路服務供應商使用的解析器未能正確更新信任錨，仍可能發生 DNSSEC 驗證失敗，進而影響部分網域名稱的正常解析。因此，輪替後持續監測解析器的更新情況，並由網路服務供應商確認相關設定，仍是維持 DNS 服務穩定與安全的重要工作。
參考資料：
APNIC Blog：Rolling the root key
https://blog.apnic.net/2026/10/09/rolling-the-root-key-2/
IANA：DNS Root Zone Begins Using New Key Signing Key
https://www.iana.org/news/2026/root-zone-begins-using-new-ksk-2026