Elysia Tools
导航
Network
端到端审计域名：IANA RDAP bootstrap 引荐、注册局/注册商 WHOIS 数据，以及从根 KSK 经 TLD DS 到域名 DNSKEY 的 DNSSEC 信任链——带 DS 摘要验证与 RRSIG 过期标记。
详情
审计器以九个 pass/fail 步骤走完域名的完整信任链。先查 IANA RDAP bootstrap 注册表（data.iana.org/rdap/dns.json）发现该 TLD 的权威注册局服务器，再经 RDAP 查询注册数据——注册商实体、创建/到期事件、EPP 状态码、域名服务器与注册局的 secureDNS 视图。与此同时，DNSSEC 侧经 DNS-over-HTTPS（阿里 DNS，可故障转移到 Cloudflare/Google，可选）解析：先取根 DNSKEY 集合并对照内置根信任锚（KSK-2017 tag 20326 与 KSK-2024 tag 38696，与 IANA 公布的 root-anchors.xml 一致）逐个重算 SHA-256 DS 摘要，然后逐级下行——根为 TLD 发布的 DS 从 TLD DNSKEY RDATA 重算，TLD 为域名发布的 DS 从域名 DNSKEY RDATA 重算，逐字节比对。不匹配、过期或临期 RRSIG 签名（对 32 位时间字段做序列号算术）、未签名委托与缺失 DS 记录都会连同确切的 key tag、算法与计算摘要一并标记。范围说明：DS↔DNSKEY 摘要匹配是委托链的密码学纽带；每个 RRset 的 RRSIG 完整签名验证通过解析器 AD 标志与到期检查报告，而非本地 RSA/ECDSA 验签。
执行
填写表单、运行工具，并在同一页面查看结果。
案例
相关内容
工具使用指南
DNSSEC 信任链与 RDAP 审计器提供端到端域名安全与注册状态核验，从 IANA RDAP bootstrap 寻址、注册局/注册商元数据抓取，到从根 KSK 信任锚、顶级域 DS 记录直到域名 apex DNSKEY 密钥集逐级重算 SHA-256 摘要比对，并检查 RRSIG 签名生命周期与解析器 AD 标志。
背景
企业主域名开启了 DNSSEC，运维团队需要在变更权威解析服务商后确认信任链完整且注册局数据同步正常。
问题
需要验证根区到顶级域及主域名的 DS 摘要映射是否无误，同时确认 RDAP 上的 secureDNS 状态。
如何使用
在域名输入框填入企业域名（例如 example.com），DoH 解析器选择自动，勾选包含 RDAP 数据并执行审计。
domain: example.com, dohResolver: auto, includeRdap: true结果
报告显示 IANA bootstrap 引荐成功，根信任锚、.com DS 及 apex DS 摘要重算全部匹配，RRSIG 处于有效期内，整体状态返回 SECURE。
背景
某域名在启用 DNSSEC 后部分支持 DNSSEC 的公共解析器返回 SERVFAIL，怀疑父域 DS 记录与子域 DNSKEY 未同步。
问题
快速隔离 DNS 记录问题，无需等待 RDAP 注册局数据返回。
如何使用
输入目标域名，选择指定 DoH 解析器（如 alidns），取消勾选“包含 RDAP 注册局数据”后开始分析。
domain: verisign.com, dohResolver: alidns, includeRdap: false结果
快速输出 apex DNSKEY 与 TLD DS 的逐字节摘要哈希对照表，精准定位 Key Tag 冲突或哈希不匹配节点。
工具内置符合 IANA 标准的根信任锚（KSK-2017 tag 20326 与 KSK-2024 tag 38696），拉取根 DNSKEY 后逐一重算 SHA-256 摘要比对。
工具本地专注验证 DS 与 DNSKEY 摘要映射及 RRSIG 时间窗口，单条 RRset 的完整密码学签名状态由上游 DoH 解析器的 AD 标志反馈。
DS 记录是父域链接子域 DNSKEY 的密码纽带；若摘要哈希或 Key Tag 不匹配，递归解析器将拒绝解析该域名。
关闭 RDAP 选项可进入仅 DNSSEC 模式，跳过注册局网络请求，专注于调试 DNS 记录与加密信任链。
RRSIG 即将过期或已过期通常需要权威 DNS 服务商重新对 Zone 签名，需检查权威 DNS 服务器的自动重签任务或密钥同步机制。