文章总结： 德国.de顶级域因DNSSEC签名配置错误导致约1770万域名解析失败离线。事故源于维护中错误签名发布至生产环境，致使公共DNS验证失败返回SERVFAIL。服务商被迫临时关闭DNSSEC验证以恢复访问，凸显严格安全机制引发系统性风险的两难。专家警示此单点失效问题，并对2026年ICANN全球根密钥轮换表示担忧，建议加强关键基础设施配置审查与应急演练。 综合评分： 80 文章分类： 安全大事件,网络安全,应急响应

德国国家级顶级.de域名已从互联网上消失，半个德国离线

原创

铸盾安全 铸盾安全

河南等级保护测评

2026年5月10日 17:14 河南

在小说阅读器读本章

去阅读

德国“.de”域名大规模宕机，一次DNSSEC签名错误导致数千万网站离线

德国近日发生近年来最严重的互联网基础设施故障之一。由于DNSSEC配置异常，德国国家顶级域“.de”出现大范围解析失败，导致数百万网站短时间内无法访问，包括电商、银行、媒体、物流及公共服务平台均受到影响。此次事件并非黑客攻击，而是一次由DNSSEC数字签名错误引发的“信任链崩溃”。

根据德国域名注册管理机构DENIC的说明，故障发生于维护过程中，问题与DNSSEC（Domain Name System Security Extensions）相关。DNSSEC的作用，是通过数字签名验证DNS记录真实性，防止域名解析遭篡改或劫持。然而在此次事件中，.de域名区的签名记录出现异常，导致Google 8.8.8.8、Cloudflare 1.1.1.1、Quad 9等启用了DNSSEC验证的公共解析器，将大量.de域名直接判定为“不可信”，并返回SERVFAIL错误。

研究人员指出，此次事故的核心问题在于“错误签名被正式发布到了生产环境”。由于DNSSEC属于严格校验机制，一旦签名与密钥不匹配，验证型解析器会主动拒绝访问，以防止潜在DNS劫持攻击。结果是，虽然网站服务器本身并未宕机，但大量用户仍然无法打开网站。受影响的平台包括Amazon.de、DHL、Bahn、Spiegel等德国核心互联网服务。

业内分析认为，此次事故很可能与DNSSEC的Zone Signing Key（ZSK）轮换有关。部分网络工程师怀疑，DENIC在执行密钥轮换时发布了错误的RRSIG签名记录，导致整条DNSSEC信任链失效。不过DENIC尚未正式确认具体技术细节，目前仍在进行根因调查。

事件发生后，Cloudflare等公共DNS服务商一度临时关闭.de域名的DNSSEC验证，以恢复网站访问能力。这意味着，为了保证可用性，部分解析服务被迫暂时降低安全校验等级。研究人员指出，这种做法虽然有效缓解了故障，但也暴露了DNSSEC在现实世界中的两难局面：安全机制越严格，配置错误带来的影响就越大。

此次事故再次暴露互联网基础设施存在的“单点失效”问题。虽然.de只是德国国家域名，但由于德国互联网规模庞大，仅一次错误签名就影响了约1770万个域名。安全研究人员Leonard Schmedding表示：“没有黑客攻击，没有供应商故障，仅仅一个位于法兰克福的加密密钥错误，就让半个德国互联网离线。”

更值得关注的是，2026年10月ICANN计划进行全球DNS Root Key Rollover（根密钥轮换）。业内担忧，如果未来全球根密钥轮换过程中出现类似配置错误，其影响可能远超德国此次事故，甚至可能导致全球DNSSEC域名出现级联解析故障。

安全专家认为，此次事件释放出几个重要信号。首先，DNS与DNSSEC已不再只是“后台基础设施”，而是国家级关键基础设施；其次，现代互联网越来越依赖少数核心信任系统，一旦这些系统配置错误，即使没有攻击者，也可能引发全国级网络中断；最后，未来网络安全挑战不只是“防黑客”，还包括如何避免复杂安全机制自身成为新的系统性风险。

#

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：河南等级保护测评 铸盾安全 铸盾安全《德国国家级顶级.de域名已从互联网上消失，半个德国离线》