OmegabcУдаление CDS не равнозначно запросу удалить DS у parent
Фотография конкретного исполнения не приложена.
При смене DNS-оператора сигнал child может временно исчезнуть. Это не должно автоматически интерпретироваться как намерение отключить защищённую делегацию. Отсутствие записи и явно выраженный запрос удаления имеют разный смысл.
RFC 8078 определяет специальный delete signal в CDS/CDNSKEY с точным форматом. Это не общий signing algorithm для обычных DNSKEY или DS. Сигнал должен пройти предусмотренную проверку и parental policy перед изменением DS RRset.
Даже правильная публикация delete intent не доказывает мгновенное изменение parent и всех caches. Поэтому переход нужно согласовать с жизненным циклом подписей и данных child. Преждевременное удаление signer при ещё существующем DS способно нарушить validation.
В приёмке фиксируют согласованное намерение, проверенный signal и фактический результат parent. Отдельно учитывают промежуточное кэшированное состояние. Отчёт должен показывать завершённый переход. Пустой ответ на запрос CDS сам по себе не является подтверждённой командой удалить цепочку доверия и не доказывает безопасное прекращение подписания зоны.
Основание — Numbered DNSSEC chain, denial, key lifecycle and zone-integrity references with selected explicit updates, разделы RFC8078 4 DNSSEC Delete Algorithm; RFC7344 Parental processing policy. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Основание — указанные номерные RFC DNSSEC и целостности DNS-зон. Это разбор механизмов, а не полный актуальный профиль algorithms. Реальные signer, resolver, trust anchors, parent policy и ключи не проверялись; DNS-запросы, публикация zones и изменения делегации не выполнялись.