域名上的记录类信息：DNS 还是 .well-known
来源：alexsci.com — 2026-11-10
📋 概述
文章比较两种把键值对绑定到域名的做法。DNS 路线是加带下划线前缀的 TXT 记录，安全性寄望于 DNSSEC；但 DNSSEC 采用率极低——在接受邮件的二级域名里，DNSSEC 签名的 MX 记录采用率在 Tranco 前一千为 12.3%，前百万 7.5%，.COM 仅 1.4%，.SE 却高达 62.8%。HTTPS .well-known 路线（RFC 8615）复用现成 TLS，开发者体验更好，已注册的 .well-known URI 超过一百个，MTA-STS 证明它今天就能用。作者认为两者是互补而非竞争。
🔑 核心要点
- DNSSEC 采用率按人群差异巨大：.COM 只有 1.4%，.SE 高达 62.8%
- 应用开发者不能假设客户域名支持 DNSSEC，必须准备替代方案
- .well-known 记录受 HTTPS 保护，添加一条记录基本等于往 web 目录丢个文件
- OPENPGPKEY（RFC 7929）用邮箱的 SHA-256 哈希做标签，对被动监听者并不能提供有意义的隐私
- 两者互补：.well-known 能承载大文档与快速试验，DNSSEC 能签 CAA 记录保护证书签发
💡 金句
我们仍然没有安全的 DNS，但域名生态的进展并不被 DNS 卡住——MTA-STS 证明了 HTTPS 方案现在就能用。
👍 0
👎 0
← 返回 Lobsters 首页