开了 DNSSEC，解析反而全挂

域名迁到新 DNS 服务商，忘了迁 DNSSEC 的 DS 记录，结果所有走验证解析器（1.1.1.1、8.8.8.8）的用户全部解析失败，报 SERVFAIL。

DNSSEC 的信任链是从根到 TLD 再到你的域，中间任何一环对不上，验证型解析器就拒绝返回结果——它不会“降级成不安全”，这是设计。

排查：

dig +dnssec example.com @8.8.8.8
dig DS example.com @8.8.8.8

看 status 和 ad 标志。SERVFAIL 加 ad 缺失，基本就是签名问题。

处理：要么在新服务商重新配置签名并更新 DS，要么先把 DS 记录删掉（回到不安全但可用），修好再开。切换 DNS 服务商时，DS 记录是最容易忘的一步。