DNSSEC в 2026 году: проверяют часто, подписывают почти никогда

У DNSSEC две стороны, и цифры к ним относятся разные.

Подписание — работа владельца домена: зона подписывается, в родительскую зону кладётся запись DS. Без этого защищать нечего.

Проверка — работа резолвера, то есть провайдера или публичного DNS, которым пользуется посетитель. Без неё подпись никто не сверит.

Смешивать их нельзя: страна может массово проверять подписи и почти не подписывать собственные домены. Именно это мы и наблюдаем.

APNIC Labs измеряет долю пользователей, чей резолвер проверяет подписи, и обновляет данные ежедневно. На 24 августа 2026 года, окно 30 дней:

Российские пользователи получают проверку подписей чаще среднего по миру — на девять с лишним процентных пунктов. Это заслуга не сайтов, а провайдеров и публичных резолверов.

Важная оговорка про динамику. Показатель по России скачет год к году:

Разброс вдвое. Причина в природе измерения: оно считает пользователей, а не сети, и когда крупный провайдер включает или выключает проверку, национальная доля сдвигается разом. Любые «тренды за год» по этому ряду бессмысленны — выбрав пару точек, можно получить и рост, и падение.

27 августа 2026 года мы проверили наличие записи DS у доменов, которые пользователи приводили в наши инструменты. Запрос — dig DS к публичному резолверу, по регистрируемому имени:

Российские домены подписаны примерно в десять раз реже, чем .com, и в двадцать четыре раза реже, чем .org. В нашей выборке подписан ровно один домен из ста двадцати шести.

Оговорка о выборке: это домены, которые кто-то приводил в наши инструменты, а не случайный срез зоны. Сравнение зон между собой корректно — они набраны одинаково; уровень по .ru как оценку «всего Рунета» брать нельзя. Отказов при измерении не было ни одного, поэтому «не подписан» здесь означает именно отсутствие DS, а не сбой запроса.

Сложите две таблицы. Российского пользователя DNSSEC защищает чаще, чем среднего жителя планеты. Российский сайт защищает своего посетителя реже, чем сайт в любой из сравненных зон.

Практический смысл: почти половина российских пользователей ходит через резолвер, который проверит подпись, если она есть. Для владельца домена это значит, что подписание зоны — не абстрактная мера «на будущее»: проверяющая сторона уже готова и ждёт.

И обратное: пока домен не подписан, эти 47,6% не дают ему ничего. Проверять нечего.

Данные говорят «сколько», но не «почему». Здесь мы выходим за пределы измеренного, поэтому перечислим факторы, а не назовём причину:

• Поддержка на стороне регистратора. Подписание требует, чтобы регистратор принимал DS-запись и передавал её в реестр. Там, где этого нет в панели, владелец физически не может завершить настройку.
• Цена ошибки высока и асимметрична. Неверная подпись или просроченная ротация ключа делает домен недоступным для всех, кто проверяет, — то есть в России почти для половины посетителей. Отказ от DNSSEC не ломает ничего никогда.
• Смена DNS-хостинга усложняется. Переезд подписанной зоны требует согласованной смены ключей; без неё домен «падает» на время рассинхронизации.
• Выгода невидима. В отличие от сертификата, DNSSEC не рисует замок в браузере, не влияет на выдачу и не проявляется в аналитике.

Проверить состояние своего домена — инструментом проверки DNS; как устроены записи и зачем нужна каждая — что такое домен.