DNS ルート KSK ロールオーバー（2026-10-11）に備えて、リゾルバが新しい鍵を信頼しているか dig で確かめる
2026年10月11日に DNS ルートの鍵署名鍵（KSK）が KSK-2017（キータグ 20326）から KSK-2024（キータグ 38696）に切り替わる。DNSSEC 検証をする自前リゾルバを運用しているなら、RFC 8509 の「トラストアンカー・センチネル」クエリで新しい鍵を信頼済みか確認できる。
誰に関係ある？
- Unbound / BIND などで DNSSEC 検証リゾルバを自分で運用している人（社内 DNS、VPS 上のリゾルバ、ルーター内蔵リゾルバなど）。新しい鍵を信頼していないと、切り替え後に正常なサイトが名前解決できなくなるおそれがある。
- 多くのサイト運営者は対応不要。Cloudflare によると Cloudflare DNS・1.1.1.1・Gateway DNS はすでに KSK-2024 を信頼している。
確認手順
センチネル対応リゾルバに、特別なラベルを付けた DNSSEC 署名済みの名前を問い合わせる（Cloudflare は dnstest.dev を用意している）。@1.1.1.1 の部分を確認したいリゾルバに置き換える。
bash
# 「38696 を信頼しているか？」→ 信頼していれば NOERROR + A レコード
dig @1.1.1.1 root-key-sentinel-is-ta-38696.dnstest.dev. A +noall +comments +answer
# 「38696 を信頼していないか？」→ 信頼していれば SERVFAIL（わざと失敗させる）
dig @1.1.1.1 root-key-sentinel-not-ta-38696.dnstest.dev. A +noall +comments +answer
# CD フラグを付けるとセンチネル処理を飛ばして元の A レコードが返る（比較用）
dig @1.1.1.1 root-key-sentinel-not-ta-38696.dnstest.dev. A +cdflag +noall +comments +answer読み方: is-ta が NOERROR、not-ta が SERVFAIL なら「センチネル対応で、KSK-2024 を信頼済み」。
ブラウザから今使っているリゾルバを調べるなら Cloudflare の診断ページ dnstest.dev/ksk-2024 を使う。
注意点
- リゾルバがセンチネル（RFC 8509）に対応していない場合、結果は「判定不能」であって「鍵がない」という意味ではない。その場合はリゾルバの設定（トラストアンカーのファイルや自動更新の設定）を直接確認するか、提供元に問い合わせる。
- ブラウザの診断は Secure DNS や VPN を使っていると、そちらのリゾルバを調べてしまう。
- アルゴリズムは引き続き RSA/SHA-256（algorithm 8）で、今回は鍵だけが替わる。