2026年10月11日，DNS根区将第二次更换密钥签名密钥（KSK），以KSK-2024（标签38696）替代KSK-2017。该密钥是DNSSEC信任链的起点，验证解析器须提前信任新密钥，否则可能导致网站无法访问。多数网站运营者无需操作，使用Cloudflare DNS或1.1.1.1的用户也无需处理。可通过dnstest.dev测试解析器是否就绪。2027年将撤销旧密钥，未来或转向ECDSA及抗量子算法。