Kořenová zóna DNS přejde 11. října 2026 na klíč KSK-2024

Kořenová zóna DNS 11. října 2026 podruhé v historii vymění podpisový klíč. Provozovatelé DNS resolverů mají ověřit, zda jejich servery podporují nový klíč KSK-2024 s ID 38696.

Kořenová zóna je nejvyšší úrovní systému DNS, který zajišťuje překlad internetových domén. DNS resolver tento překlad provádí a při zapnutém DNSSEC kontroluje digitální podpisy odpovědí. Pomocí správného klíče ověřuje, že údaje nebyly cestou podvrženy.

Dosavadní klíč KSK-2017 s ID 20326 byl vytvořen v říjnu 2016 a zveřejněn v červnu 2017. V kořenové zóně se používá od 11. října 2018, kdy nahradil první klíč KSK-2010. V říjnu 2026 ho vystřídá KSK-2024.

Ondřej Filip, výkonný ředitel CZ.NIC, doporučuje ověřit stav pomocí mechanismu popsaného v RFC 8509. Dotaz na název root-key-sentinel-is-ta-38696 má vrátit odpověď NXDOMAIN, tedy informaci, že název neexistuje. Dotaz na root-key-sentinel-not-ta-38696 má naopak skončit odpovědí SERVFAIL, která označuje selhání DNS serveru.

Pokud resolver nový klíč nezná, nemusí po výměně správně ověřovat podepsané DNS odpovědi. Překlad domén přes tento resolver pak může přestat fungovat, přestože samotný web nebo e-mailový server zůstane dostupný.

Registrace domény ani běžné DNS záznamy se kvůli výměně klíče nemění. Úpravu může vyžadovat pouze konfigurace validujícího resolveru, který spravuje interní IT nebo externí dodavatel. Před 11. říjnem 2026 je proto potřeba ověřit, kdo resolver spravuje a zda zná klíč s ID 38696. Pokud překlad DNS zajišťuje poskytovatel a ve firemní síti není vlastní resolver, není nutné měnit web, e-mail ani doménové záznamy.