主题
DNS 委派权力
在主题维度下，DNS主题情报把围绕同一具体议题、信号焦点或监测主题的 BTW.MEDIA 文章串联起来。页面为读者提供更完整的阅读路径，涵盖相关报道、证据来源、市场参与者和基础设施影响，并给出足够背景，帮助理解该主题为何在公司动态、治理决策、区域影响和运营风险中值得关注。读者可以比较反复出现的信号、受影响组织、公开证据、市场背景、服务连续性、采购、竞争、合规和战略规划等问题，而不是只看一份单薄的相关文章列表。页面还会说明该主题涵盖什么、涉及哪些基础设施参与方或政策、有哪些证据支撑报道，以及该主题对运营商、客户、投资者和关注政策的读者为何重要。
全球区域 ISP 趋势
DNS NOTIFY 回执不能证明新区数据已经对外提供
主服务器提高 SOA 序列号并发出 DNS NOTIFY。所有从服务器很快应答，通知重试队列随即清空；几分钟后，一个权威地址仍返回旧记录。回执没有造假，错误在于把“收到通知”扩大成了“完成发布”。
ICANN
Allison Mankin 与不能证明原因的名称冲突样本
根服务器可以极其精确地记录一次形似私有名称的查询，却无法仅凭这条记录回答：查询由哪个应用产生、故障依赖归谁负责、多少用户受影响，或者未来委派会伤害什么。Allison Mankin 参与撰写的 RFC 8023，恰好为这段证据落差划出了边界。
案例档案
密钥已被看见，但还不能信任
一条自签名 DNS 更新抵达父区，带来一把新钥匙，同时要求删掉旧钥匙。它能证明发送者持有新私钥，却不能证明发送者有权改变子域委派。DNSOP 最后征求意见的截止日来到 9 月 7 日，这个从“已知”到“可信”的跃迁，才是草案里真正的权力开关。
案例档案
域名末尾的点消失后，信任边界换了位置
`example.co.uk` 与 `example.co.uk.` 可以落到同一个 DNS 节点，却未必会被应用的安全组件视为同一把钥匙。DNSOP 工作组最后征求意见于 9 月 7 日截止；curl 在 2026 年披露的一项漏洞，则把“名称需要规范化”从抽象提醒变成了一个有先后顺序的控制问题：究竟是在判断权限之前去掉末尾点，还是在秘密已经越界之后才把日志写得整齐。
案例档案
本地网络发现了 MOQT 中继，却没有发现它的授权
最新 MOQT Discovery 草案已经明确：DNS 可以把连接送到另一台主机，却不能顺便改写 TLS 要验证的服务身份。问题出现在更早一步——当 mDNS 主动报出一个本地中继时，谁允许它代表这项服务？
欧洲与中东云服务趋势
Genesis Cloud 的路由、互联与 DNS：公开记录能证明什么，不能证明什么
这篇研究区分 Genesis Cloud 的注册、互联、DNS、路由观测与应用可达性证据，说明买方如何避免把配置记录误读为实时运营证明。
互联网历史
名称看似完整，解析器仍把它改写了：RFC 1535
少敲几个字符，是用户当天就能感到的便利；谁有权补全这些字符，却往往要等到连接去了错误的地方才会暴露。RFC 1535 记录的不是一个抽象的 DNS 小技巧，而是一条控制边界：本地解析器可以帮助补全本地名称，却不能因为字符串还能继续截短，就替用户把解释权交给另一个公共名称空间的管理者。
领导者
Warren Kumari 与一种能够承受的 DNS 失败设计
DNS 的韧性并不意味着系统永远不会失败，而是意味着失败发生时，服务仍能在明确边界内维持有用的连续性，同时让运营者知道什么已经失效、哪些数据正在变旧，以及何时必须停止依赖替代路径。Warren Kumari 参与共同撰写的几项 IETF 标准，恰好把这种思路分解为三个互相牵制的动作：在刷新失败后有限度地继续提供旧数据；在递归解析器内部谨慎地保留根区数据，但不把本地副本变成另一套公共根；以及通过结构化错误信息，使被压缩在 DNS…
全球区域 ISP 趋势
发布 TLSA 记录不等于证书一定会被接受
TLSA 记录可以已经出现在 DNS 中，但客户端仍可能无法使用、无法匹配，甚至必须拒绝连接。只有 DNSSEC 状态、记录参数、服务器实际提供的证书链、客户端策略和时间窗口全部一致，DANE 才形成有效保障。
全球区域 ISP 趋势
NSEC3 Opt-Out 证明不能保证委派安全
DNSSEC 响应可以拥有完全有效的签名，同时把子域委派留在不安全状态。NSEC3 Opt-Out 证明针对的是一个明确的哈希区间；它不会为区间内每个委派自动建立信任链。
全球云服务趋势
加密 DNS 重新划定策略边界
加密能够保护 DNS 查询的传输过程，也会改变谁选择解析器、谁实施本地策略，以及故障发生时谁负责解释。运营者需要看见这条重新划定的边界。
全球云服务趋势
DNSSEC 密钥轮换的四个时钟
DNSSEC 密钥轮换只有在权威发布、递归缓存、父区委派以及已配置的信任锚进入相容状态后才算完成。密钥仪式可以结束，验证风险却仍可能存在。
IETF
RDAP 删掉了两个 DELEG 字段，它引用的写入模型仍保留着它们
一条注册数据在出现在公开查询结果之前，往往已经穿过不止一种协议。9 月 4 日更新的 DNS DELEG RDAP 扩展草案，已经跟随 DELEG-11 从读取模型中去掉两个旧字段；它引用的 EPP 供应草案，却仍在正式写入模式中保留这两个字段，而 RDAP 草案自己的完整 JSON 键值契约仍写着 TBD。这不是线上故障证据，而是一条更基础的治理信号：扩展名称可以先出现，支撑它的转换规则却尚未达到可复现状态。
案例档案
戏仿在地址栏之后才出现：PETA v Doughney
用户还没看到笑话，地址已经先作出了承诺。`peta.org` 指向 People for the Ethical Treatment of Animals 的意味，出现在“People Eating Tasty Animals”页面之前。这一先后次序是理解 *PETA v Doughney* 的关键。第四巡回上诉法院没有宣布批评或戏仿违法；它认定，本案中的准确域名先给出来源暗示，而否定关联的讽刺要到页面打开后才出现。法院又把这一时差放回完整证据中：注册陈述、商业链接、其他域名以及要求 PETA “出价”的话，共同支撑了混淆与恶意获利意图的判断。
报道
LACNIC WHOIS 的 nslastaa 记录上次成功检查，而非当前 DNS 健康状态
注册局响应中的一个日期，很容易被误读成仍然有效的即时保证。LACNIC 对 `nslastaa` 的定义要窄得多：它记录的是在列出的服务器上最后一次观察到反向 DNS 配置正确的日期。这是一条有价值的历史观测，但它不能证明服务器此刻仍然响应，更不能替代路由证据。
全球云服务趋势
DNS Cookie 不是客户端身份认证
DNS Cookie 能帮助服务器区分两类请求：一种携带服务器先前签发的协议状态，另一种只是声称自己来自某个源地址。这对抵御多种离路径攻击很有价值，却不能识别共享递归解析器背后的个人、订户或设备，也无法抵御已经位于 DNS 路径上的观察者。
报道
APNIC 统计了 96.9 亿次 DNS 查询，却仍无法确定重试发生在哪一层
APNIC Labs 只改变权威服务器给出的结果，抵达服务器的查询量便随之跨越了不同数量级：保持沉默时，记录接近 97 亿次。这个商数可以复算，但它没有携带重试者的身份证明。若把权威端的总量直接归咎于“递归解析器”，一项重要实验就会越过自身证据的边界。
报道
根区 KSK 轮换让解析器就绪度成为连续性的真正考验
DNS 本身可能运行正常，而使用过期信任锚的验证解析器仍会让用户看到失败。这正是根区密钥签名密钥轮换的运营悖论：密钥在中心环节变更，连续性却由分布式解析器群体决定。
案例档案
两个字母并不是全部案情：Virtual Works 诉 Volkswagen 与那通关于 `vw.net` 的电话
`vw.net` 并非一个从未使用、只等商标权人来买的空地址。Virtual Works 已用它经营互联网接入业务约两年。真正改变证据结构的，是法院所记载的一通电话：Volkswagen 被要求在二十四小时内回应，否则域名将卖给出价最高者。稀缺性解释了议价能力；它本身并不证明恶意。法院要判断的是，这种能力如何被设想、表达和使用。
报道
LACNIC 用反向 DNS 任播把注册局连续性变成分布式控制
反向 DNS 平时很少被注意，直到它无法响应。LACNIC 的任播部署说明，注册局连续性不是单台服务器的属性，而是由节点布局、路由、同步与观测共同维持的运营纪律。