原文標題：The keys to the Internet change on October 11. Are you ready?
Cloudflare 於 10 月 6 日發布技術提醒，指出 DNS 根區原訂在 10 月 11 日進行金鑰簽署金鑰輪替。DNSSEC 驗證解析器必須事先信任新的 KSK-2024，才能持續驗證根區的 DNSKEY 紀錄。若解析器未正確更新信任錨，可能把正常網站誤判為驗證失敗，造成名稱解析無法完成。
官方說明，這次輪替由 KSK-2024 接替 KSK-2017 作為根區 DNSKEY 簽署金鑰，兩者使用相同的 RSA/SHA-256 演算法，並非改用新的加密演算法。新金鑰的 key tag 為 38696，舊金鑰為 20326。KSK-2024 自 2025 年 1 月 11 日起已公布在根區 DNSKEY 集合中，讓支援 RFC 5011 自動更新的解析器有足夠時間學習與接受新信任錨。
Cloudflare 表示，多數網站經營者不需為這次輪替採取動作；使用 Cloudflare DNS、1.1.1.1 或 Gateway DNS 的客戶，也不需另行更新，因為相關系統已信任新金鑰。但自行維護 DNSSEC 驗證解析器的團隊，應檢查是否已安裝 KSK-2024，必要時依解析器供應商與 ICANN 指示更新設定。
為了降低檢查門檻，Cloudflare 提供基於 RFC 8509 trust anchor sentinel 的測試方法，透過特定 DNS 查詢判斷解析器是否信任新金鑰。官方同時提醒，不支援 sentinel 的解析器可能出現無法判定的測試結果，不能直接解讀為缺少金鑰。這篇文章描述預定切換計畫及準備方式，不能單憑它確認 10 月 11 日的實際執行結果。
發生了什麼事
DNS 根區排定進行 KSK-2024 輪替，Cloudflare 說明解析器信任錨檢查方式與可能造成的 DNSSEC 驗證失敗風險。
為什麼重要
根區是 DNSSEC 信任鏈起點，少數未更新的驗證解析器可能讓正常網站無法解析，影響的範圍不限單一網站。
影響哪些人
自行營運遞迴 DNS 與 DNSSEC 驗證解析器的網管、ISP 與企業 IT 團隊應優先確認；一般網站站長通常不需調整。
已確認與未確認
已確認官方公布的預定輪替日期與新舊金鑰識別碼；這份 10 月 6 日文章不能證明 10 月 11 日輪替已成功完成。
