網際網路號碼分配局（IANA）宣布，DNS根區域自10月11日起改由新金鑰KSK-2024負責簽署，取代原本的KSK-2017。這是繼2018年首次輪替後，時隔8年再次更換根區域金鑰。
IANA提醒，啟用DNSSEC驗證卻未更新信任錨的DNS解析器，可能無法驗證根區域資料，導致網域名稱解析失敗。不過預期多數使用者不會受到影響。
DNS根區域位於網域名稱系統的最上層，負責提供.com、.org等頂級網域的查詢資訊。
DNS安全擴充（DNSSEC）透過數位簽章確認DNS資料的來源與完整性，防止查詢資料遭到竄改。根區域的金鑰簽署金鑰（KSK）是DNSSEC信任鏈的起點，解析器必須信任根區域金鑰，才能沿著信任鏈逐層驗證受到DNSSEC保護的網域資料。
新金鑰KSK-2024的金鑰標籤為38696，舊金鑰KSK-2017則為20326。10月11日切換後，新金鑰開始負責簽署根區域的DNSKEY紀錄集，舊金鑰停止簽署。
若解析器仍只信任舊金鑰，就可能因為簽章驗證失敗而回傳SERVFAIL錯誤。對使用這類解析器的用戶來說，即使網站正常運作，也可能因為拿不到網域名稱的解析結果而無法連線。
IANA早在2024年就已發布新信任錨，並於2025年1月將KSK-2024加入DNS根區域，讓解析器有充足時間更新。
支援並啟用RFC 5011自動更新機制的解析器，可以在確認新金鑰後自動更新信任錨，不必由管理員手動更換。不過若自動更新未正常運作，或解析器使用過時的信任錨設定，仍可能在切換後發生驗證問題。
ICANN提醒，執行DNSSEC驗證的解析器管理員應檢查信任錨設定是否包含KSK-2024。要是缺少新金鑰，應確認自動更新功能是否正常，或依照解析器軟體供應商的指引更新信任錨，避免用戶在不知情的情況下連不上網站。
依照IANA公布的時程，舊金鑰KSK-2017目前仍保留在DNS根區域，預計2027年1月11日撤銷，並於同年3月22日移除。管理員還有充足時間完成更新，但若拖到最後一刻才處理，可能在新一輪切換時面臨更大的風險。
