DNSSEC 检测

DNSSEC 通过给 DNS 应答加数字签名，防止解析结果被劫持或缓存投毒。
完整信任链要求：区域自身签名（DNSKEY+RRSIG）、父区存在 DS 委托记录、且 DS 摘要与 KSK 匹配。
✓ 已签名且信任链完整；⚠ 已签名但父区无 DS（等于白签，验证型解析器不会采信）；✗ 链断或签名无效（严格验证的解析器会直接拒绝解析，比不签名更糟）。
启用方式：在 DNS 服务商处开启 DNSSEC 签名，并把生成的 DS 记录提交给域名注册商。