以降のセクションでは、いくつかの技術的な概念と、それらが Cloudflare DNSSEC にどう当てはまるかを概説します。DNSSEC 全般については、DNSSEC の仕組み ↗ を参照してください。
DNSSEC の検証は、ルート DNS サーバーからゾーンまでの信頼チェーンに沿って進みます。
- リゾルバーは、親レジストリ（例:
.com）にゾーンの DS レコードを問い合わせます。 - DS レコードには、Key Signing Key（KSK）のハッシュが含まれます。
- リゾルバーは、すべての Zone Signing Key（ZSK）がその KSK で署名されていることを期待します。
- Cloudflare が別の KSK を使っている場合、リゾルバーが Cloudflare ネームサーバーに問い合わせると検証は失敗します。
そのため、Cloudflare へ移行するときに、既存の DS レコードをそのまま残すことはできません。暗号学的な信頼チェーンには、次のいずれかが必要です。
- 移行前に DNSSEC を無効化 し、Cloudflare 上で再度有効化する
- Multi-signer DNSSEC を使い、プロバイダー間で鍵を調整する。
DNSSEC を有効にすると、Cloudflare はゾーンに CDS（Child Delegation Signer）レコードと CDNSKEY（Child DNSKEY）レコードを自動で公開します。これらのレコードは、ドメインとトップレベルドメインのレジストリのあいだで、信頼チェーンの管理を自動化します。
| レコード | 用途 | 内容 |
|---|---|---|
| CDS | 上位向けの指示 | 公開鍵のハッシュ版（DS レコードと同じデータ） |
| CDNSKEY | 公開鍵の指示 | 親側が独自の DS レコードを生成するための、完全な公開 Key Signing Key（KSK） |
RFC 8078 ↗ に対応するレジストラは、これらのレコードを定期的にスキャンし、レジストリ側の DS レコードを自動更新します。これにより、DS レコードの手作業が不要になり、鍵のロールオーバーもスムーズになります。
- ZSK（Zone Signing Keys）: フラグ
256 - KSK（Key Signing Keys）: フラグ
257