Cloudflare宣布公共DNS服务1.1.1.1现在支持后量子DNSSEC验证。
Cloudflare官方文章介绍，1.1.1.1使用NIST的后量子ML-DSA-44算法验证DNSSEC签名。文章重点讨论约2420字节签名在大规模DNS解析场景中的处理方式，以及在不同签名算法之间降级时需要关注的风险。
该更新针对DNSSEC验证链路，实际解析路径和客户端兼容性仍取决于域名签名配置及递归解析器行为。
来源：Cloudflare Blog，发布时间：2026年9月10日。
DNSSEC由域名发布签名记录、递归解析器验证链条组成。Cloudflare宣布1.1.1.1能够验证ML-DSA-44签名，说明其递归解析侧增加了相应能力；域名持有者仍需由权威DNS正确发布算法与签名，其他递归解析器也可能有不同支持情况。
文章提到的签名约2420字节，提醒运营人员关注DNS响应大小、传输路径和回退行为。较大的签名可能增加分片或TCP回退的测试需求；应在目标域名上检查不同网络、解析器和DNSSEC验证状态，确认大型响应不会导致间歇性解析失败。
安全评估还要留意算法协商与降级：如果系统在验证失败时无提示地退回较弱路径，新增算法未必带来预期保护。域名管理员应先查清当前DNS托管方、密钥轮换流程和监控告警，再分阶段部署并验证解析结果。支持后量子算法是迁移链条的一环，不代表互联网DNS已经整体抗量子。
