本文介绍为启用DNSSEC的域名生成TLSA和SSHFP记录的方法。TLSA用于DANE，推荐参数3 1 1（或3 1 2），从证书或私钥提取SPKI计算SHA-256/512散列，主要保护SMTP的25端口；续期须沿用私钥，轮换时先预发布新旧记录。SSHFP可用ssh-keygen -r生成，保留SHA-256记录，客户端需启用VerifyHostKeyDNS并确保解析器支持DNSSEC验证。