rsasha1
DNSSEC アルゴリズム 5 で、SHA-1 を使う RSA です。署名には使ってはいけません（MUST NOT）が、検証は今も行われます。
SHA-1 に弱点があるため、レジストリの指針は署名での RSA/SHA-1 の使用を MUST NOT（禁止）としています。一方で、まだ残っている署名済みゾーンが検証に失敗しないよう、バリデーターは引き続きこれを受け付けています。アルゴリズム 5 や 7 のままのゾーンは、13 か 15 にロールオーバーすべきです。
DNSSEC と DANE
DNSSEC のアルゴリズム番号と DS ダイジェストタイプ
IANA レジストリの DNSKEY・RRSIG のアルゴリズム番号と DS ダイジェストタイプを、署名、委任、検証に使うべきものを示す RFC 9904 のガイダンス付きで掲載しています。
26 件中 26 件を表示
DNSSEC のアルゴリズム番号 · 20 件
DNSKEY と RRSIG のアルゴリズム番号と、署名と検証についての RFC 9904 のガイダンスです。
| 値 | ニーモニック | 説明 | 参考文献 |
|---|---|---|---|
0 | DELETE | DELETE（DNSSEC アルゴリズム 0）：Delete DS。ゾーンの署名：ガイダンスなし、検証：ガイダンスなし。 | RFC 4034RFC 4398RFC 8078 |
1 | RSAMD5 | RSAMD5（DNSSEC アルゴリズム 1）：RSA/MD5 (DEPRECATED, see 5)。ゾーンの署名：禁止（MUST NOT）、検証：禁止（MUST NOT）。 | RFC 3110RFC 4034 |
2 | DH | DH（DNSSEC アルゴリズム 2）：Diffie-Hellman。ゾーンの署名：ガイダンスなし、検証：ガイダンスなし。 | RFC 2539 |
3 | DSA | DSA（DNSSEC アルゴリズム 3）：DSA/SHA1。ゾーンの署名：禁止（MUST NOT）、検証：禁止（MUST NOT）。 | RFC 3755RFC 2536Federal Information Processing Standards Publication (FIPS PUB) 186, Digital Signature Standard, 18 May 1994Federal Information Processing Standards Publication (FIPS PUB) 180-1, Secure Hash Standard, 17 April 1995. (Supersedes FIPS PUB 180 dated 11 May 1993.) |
5注記 | RSASHA1 | RSASHA1（DNSSEC アルゴリズム 5）：RSA/SHA-1。ゾーンの署名：禁止（MUST NOT）、検証：推奨（RECOMMENDED）。 | RFC 3110RFC 4034RFC 9905 |
6 | DSA-NSEC3-SHA1 | DSA-NSEC3-SHA1（DNSSEC アルゴリズム 6）：DSA-NSEC3-SHA1。ゾーンの署名：禁止（MUST NOT）、検証：禁止（MUST NOT）。 | RFC 5155 |
7 | RSASHA1-NSEC3-SHA1 | RSASHA1-NSEC3-SHA1（DNSSEC アルゴリズム 7）：RSASHA1-NSEC3-SHA1。ゾーンの署名：禁止（MUST NOT）、検証：推奨（RECOMMENDED）。 | RFC 5155RFC 9905 |
8注記 | RSASHA256 | RSASHA256（DNSSEC アルゴリズム 8）：RSA/SHA-256。ゾーンの署名：推奨（RECOMMENDED）、検証：推奨（RECOMMENDED）。 | RFC 5702 |
10 | RSASHA512 | RSASHA512（DNSSEC アルゴリズム 10）：RSA/SHA-512。ゾーンの署名：非推奨（NOT RECOMMENDED）、検証：推奨（RECOMMENDED）。 | RFC 5702 |
12 | ECC-GOST | ECC-GOST（DNSSEC アルゴリズム 12）：GOST R 34.10-2001 (DEPRECATED)。ゾーンの署名：禁止（MUST NOT）、検証：禁止（MUST NOT）。 | RFC 5933Change the status of GOST Signature Algorithms in DNSSEC in the IETF stream to HistoricRFC 9906 |
13注記 | ECDSAP256SHA256 | ECDSAP256SHA256（DNSSEC アルゴリズム 13）：ECDSA Curve P-256 with SHA-256。ゾーンの署名：推奨（RECOMMENDED）、検証：推奨（RECOMMENDED）。 | RFC 6605 |
14 | ECDSAP384SHA384 | ECDSAP384SHA384（DNSSEC アルゴリズム 14）：ECDSA Curve P-384 with SHA-384。ゾーンの署名：任意（MAY）、検証：推奨（RECOMMENDED）。 | RFC 6605 |
15注記 | ED25519 | ED25519（DNSSEC アルゴリズム 15）：Ed25519。ゾーンの署名：推奨（RECOMMENDED）、検証：推奨（RECOMMENDED）。 | RFC 8080 |
16 | ED448 | ED448（DNSSEC アルゴリズム 16）：Ed448。ゾーンの署名：任意（MAY）、検証：推奨（RECOMMENDED）。 | RFC 8080 |
17 | SM2SM3 | SM2SM3（DNSSEC アルゴリズム 17）：SM2 signing algorithm with SM3 hashing algorithm。ゾーンの署名：任意（MAY）、検証：任意（MAY）。 | RFC 9563 |
18 | MLDSA44 | MLDSA44（DNSSEC アルゴリズム 18）：ML-DSA-44。ゾーンの署名：任意（MAY）、検証：任意（MAY）。 | draft-westerbaan-dnssec-mldsa-03 |
23 | ECC-GOST12 | ECC-GOST12（DNSSEC アルゴリズム 23）：GOST R 34.10-2012。ゾーンの署名：任意（MAY）、検証：任意（MAY）。 | RFC 9558 |
252 | INDIRECT | INDIRECT（DNSSEC アルゴリズム 252）：Reserved for Indirect Keys。ゾーンの署名：ガイダンスなし、検証：ガイダンスなし。 | RFC 4034 |
253 | PRIVATEDNS | PRIVATEDNS（DNSSEC アルゴリズム 253）：private algorithm。ゾーンの署名：任意（MAY）、検証：任意（MAY）。 | RFC 4034 |
254 | PRIVATEOID | PRIVATEOID（DNSSEC アルゴリズム 254）：private algorithm OID。ゾーンの署名：任意（MAY）、検証：任意（MAY）。 | RFC 4034 |
未割り当ての範囲と予約済みの範囲 · 7 件
| 範囲 | ステータス | 説明 |
|---|---|---|
| 4 | reserved | Reserved |
| 9 | reserved | Reserved |
| 11 | reserved | Reserved |
| 19–22 | unassigned | Unassigned |
| 24–122 | unassigned | Unassigned |
| 123–251 | reserved | Reserved |
| 255 | reserved | Reserved |
出典：DNSSEC algorithm numbers and DS digest types（IANA）、2026-10-20 に取得。データのライセンス：CC0-1.0。 DNS Security Algorithm Numbers
注目すべき項目の注記
rsasha256
DNSSEC アルゴリズム 8 で、SHA-256 を使う RSA です。現在も最も広く導入されている DNSSEC アルゴリズムです。
多くのトップレベルドメインとルートゾーンは、アルゴリズム 8 で署名しています。バリデーターはこのアルゴリズムをサポートしなければなりません（MUST）。新しいゾーンについては、署名がはるかに小さくレスポンスを小さく保てるアルゴリズム 13（または 15）をレジストリが推奨しています。
ecdsap256sha256
DNSSEC アルゴリズム 13 で、P-256 上の ECDSA です。ゾーンの署名に推奨されているアルゴリズムです。
アルゴリズム 13（RFC 6605）の署名と鍵はどちらも 64 バイトで、RSA よりはるかに小さいため、DNSSEC のレスポンスをフラグメンテーションが起きるサイズより小さく抑えられます。IANA レジストリは、署名については RECOMMENDED（推奨）、検証については MUST（必須）としています（RFC 9904 がこの指針をレジストリに移しました）。
ed25519
DNSSEC アルゴリズム 15 で、Ed25519（RFC 8080）です。署名と検証のどちらにも推奨されています。
Ed25519 の署名は決定的なので、署名ごとの乱数は必要ありません。バリデーターの対応がゆっくりとしか進んでいないため、新しいゾーンでは今もアルゴリズム 13 のほうが一般的です。
DNSSEC の DS ダイジェストタイプ · 6 件
DS レコードのダイジェストアルゴリズムと、委任と検証についてのガイダンスです。
| 値 | ハッシュ | 説明 | 参考文献 |
|---|---|---|---|
1 | SHA-1 | DS ダイジェストタイプ 1 は SHA-1 を使います。委任：禁止（MUST NOT）、検証：推奨（RECOMMENDED）。 | RFC 3658RFC 9905 |
2 | SHA-256 | DS ダイジェストタイプ 2 は SHA-256 を使います。委任：推奨（RECOMMENDED）、検証：推奨（RECOMMENDED）。 | RFC 4509 |
3 | GOST R 34.11-94 | DS ダイジェストタイプ 3 は GOST R 34.11-94 を使います。委任：禁止（MUST NOT）、検証：禁止（MUST NOT）。 | RFC 5933Change the status of GOST Signature Algorithms in DNSSEC in the IETF stream to HistoricRFC 9906 |
4 | SHA-384 | DS ダイジェストタイプ 4 は SHA-384 を使います。委任：任意（MAY）、検証：推奨（RECOMMENDED）。 | RFC 6605 |
5 | Streebog-256 | DS ダイジェストタイプ 5 は Streebog-256 を使います。委任：任意（MAY）、検証：任意（MAY）。 | RFC 9558 |
6 | SM3 | DS ダイジェストタイプ 6 は SM3 を使います。委任：任意（MAY）、検証：任意（MAY）。 | RFC 9563 |
未割り当ての範囲と予約済みの範囲 · 5 件
| 範囲 | ステータス | 説明 |
|---|---|---|
| 0 | reserved | Reserved |
| 7–127 | unassigned | Unassigned |
| 128–252 | reserved | Reserved |
| 253–254 | private | Reserved for Private Use |
| 255 | unassigned | Unassigned |
出典：DNSSEC algorithm numbers and DS digest types（IANA）、2026-10-20 に取得。データのライセンス：CC0-1.0。 Digest Algorithms (DS RR Type Digest Algorithms)