DNSSECのロールオーバー失敗でアルバニアの「.al」ドメインがダウン、Cloudflareは新たなエラーコードで透明性を向上
A broken DNSSEC rollover took down .al. Now 1.1.1.1 tells you when validation is bypassed
2026年7月3日、アルバニアの国別トップレベルドメイン(ccTLD)である「.al」のDNSSECキーロールオーバー中に問題が発生し、DNSSEC検証エラーを引き起こしました。これにより、「.al」ドメイン下の政府サービス、銀行、メディアなどのサイトが一時的にアクセス不能となりました。Cloudflareは、以前ドイツの「.de」ドメインで発生した同様のインシデントと同様に、一時的にDNSSEC検証をバイパスするネガティブトラストアカー(NTA)を「.al」に適用しました。しかし、今回は初めて、NTA適用下で提供された応答であることを示す新しい拡張DNSエラー(EDE)コード(EDE 33)を応答に付与しました。これにより、DNSSEC検証がバイパスされたことをクライアントや運用者が把握できるようになり、透明性が向上しました。この変更は、RFC 8914で定義されたEDEコードを利用したもので、DNSSEC検証が失敗した理由(EDE 9: DNSKEY Missing)とNTAの適用(EDE 33: Negative Trust Anchor)の両方を通知します。この機能は、Cloudflareが共同執筆したインターネットドラフトに基づき、1.1.1.1で実装されました。このインシデントにより、「.al」ドメインは一時的にDNSSEC保護を失い、現在はルートゾーンからDSレコードが削除されたままとなっています。
- アルバニアのccTLD「.al」のDNSSECキーロールオーバー中に問題が発生し、同ドメイン下の政府・銀行・メディアサイトが一時的にアクセス不能となった
- CloudflareはNTA(Negative Trust Anchor)を「.al」に適用し、新たな拡張DNSエラーコードEDE 33(Negative Trust Anchor)を初めて応答に付与した
- Cloudflareが共同執筆したインターネットドラフトに基づき、DNSSEC検証がバイパスされたことを通知するEDE 33を1.1.1.1で実装した
DNSSECの運用上の脆弱性と、その影響を緩和するための透明性向上策(EDE 33)の実装という、セキュリティインフラの信頼性に関わる具体的な動き。CloudflareがRFC準拠の新エラーコードを実装し、DNSSEC検証バイパスを可視化した点は、DNSエコシステムの運用改善として注目に値する。ただし国別TLDのロールオーバー失敗自体は一般的な運用インシデントであり、特定の企業業績に直結する投資機会とは言いにくい。