Показано: 26 из 26
Номера алгоритмов DNSKEY и RRSIG с рекомендациями RFC 9904 для подписания и проверки.
| Значение | Мнемоника | Описание | Ссылки |
|---|---|---|---|
0 | DELETE | DELETE (алгоритм DNSSEC 0): Delete DS. Подписание зон: рекомендаций нет; проверка: рекомендаций нет. | RFC 4034RFC 4398RFC 8078 |
1 | RSAMD5 | RSAMD5 (алгоритм DNSSEC 1): RSA/MD5 (DEPRECATED, see 5). Подписание зон: запрещено (MUST NOT); проверка: запрещено (MUST NOT). | RFC 3110RFC 4034 |
2 | DH | DH (алгоритм DNSSEC 2): Diffie-Hellman. Подписание зон: рекомендаций нет; проверка: рекомендаций нет. | RFC 2539 |
3 | DSA | DSA (алгоритм DNSSEC 3): DSA/SHA1. Подписание зон: запрещено (MUST NOT); проверка: запрещено (MUST NOT). | RFC 3755RFC 2536Federal Information Processing Standards Publication (FIPS PUB) 186, Digital Signature Standard, 18 May 1994Federal Information Processing Standards Publication (FIPS PUB) 180-1, Secure Hash Standard, 17 April 1995. (Supersedes FIPS PUB 180 dated 11 May 1993.) |
5Примечание | RSASHA1 | RSASHA1 (алгоритм DNSSEC 5): RSA/SHA-1. Подписание зон: запрещено (MUST NOT); проверка: рекомендуется (RECOMMENDED). | RFC 3110RFC 4034RFC 9905 |
6 | DSA-NSEC3-SHA1 | DSA-NSEC3-SHA1 (алгоритм DNSSEC 6): DSA-NSEC3-SHA1. Подписание зон: запрещено (MUST NOT); проверка: запрещено (MUST NOT). | RFC 5155 |
7 | RSASHA1-NSEC3-SHA1 | RSASHA1-NSEC3-SHA1 (алгоритм DNSSEC 7): RSASHA1-NSEC3-SHA1. Подписание зон: запрещено (MUST NOT); проверка: рекомендуется (RECOMMENDED). | RFC 5155RFC 9905 |
8Примечание | RSASHA256 | RSASHA256 (алгоритм DNSSEC 8): RSA/SHA-256. Подписание зон: рекомендуется (RECOMMENDED); проверка: рекомендуется (RECOMMENDED). | RFC 5702 |
10 | RSASHA512 | RSASHA512 (алгоритм DNSSEC 10): RSA/SHA-512. Подписание зон: не рекомендуется (NOT RECOMMENDED); проверка: рекомендуется (RECOMMENDED). | RFC 5702 |
12 | ECC-GOST | ECC-GOST (алгоритм DNSSEC 12): GOST R 34.10-2001 (DEPRECATED). Подписание зон: запрещено (MUST NOT); проверка: запрещено (MUST NOT). | RFC 5933Change the status of GOST Signature Algorithms in DNSSEC in the IETF stream to HistoricRFC 9906 |
13Примечание | ECDSAP256SHA256 | ECDSAP256SHA256 (алгоритм DNSSEC 13): ECDSA Curve P-256 with SHA-256. Подписание зон: рекомендуется (RECOMMENDED); проверка: рекомендуется (RECOMMENDED). | RFC 6605 |
14 | ECDSAP384SHA384 | ECDSAP384SHA384 (алгоритм DNSSEC 14): ECDSA Curve P-384 with SHA-384. Подписание зон: допускается (MAY); проверка: рекомендуется (RECOMMENDED). | RFC 6605 |
15Примечание | ED25519 | ED25519 (алгоритм DNSSEC 15): Ed25519. Подписание зон: рекомендуется (RECOMMENDED); проверка: рекомендуется (RECOMMENDED). | RFC 8080 |
16 | ED448 | ED448 (алгоритм DNSSEC 16): Ed448. Подписание зон: допускается (MAY); проверка: рекомендуется (RECOMMENDED). | RFC 8080 |
17 | SM2SM3 | SM2SM3 (алгоритм DNSSEC 17): SM2 signing algorithm with SM3 hashing algorithm. Подписание зон: допускается (MAY); проверка: допускается (MAY). | RFC 9563 |
18 | MLDSA44 | MLDSA44 (алгоритм DNSSEC 18): ML-DSA-44. Подписание зон: допускается (MAY); проверка: допускается (MAY). | draft-westerbaan-dnssec-mldsa-03 |
23 | ECC-GOST12 | ECC-GOST12 (алгоритм DNSSEC 23): GOST R 34.10-2012. Подписание зон: допускается (MAY); проверка: допускается (MAY). | RFC 9558 |
252 | INDIRECT | INDIRECT (алгоритм DNSSEC 252): Reserved for Indirect Keys. Подписание зон: рекомендаций нет; проверка: рекомендаций нет. | RFC 4034 |
253 | PRIVATEDNS | PRIVATEDNS (алгоритм DNSSEC 253): private algorithm. Подписание зон: допускается (MAY); проверка: допускается (MAY). | RFC 4034 |
254 | PRIVATEOID | PRIVATEOID (алгоритм DNSSEC 254): private algorithm OID. Подписание зон: допускается (MAY); проверка: допускается (MAY). | RFC 4034 |
| Диапазон | Статус | Описание |
|---|---|---|
| 4 | reserved | Reserved |
| 9 | reserved | Reserved |
| 11 | reserved | Reserved |
| 19–22 | unassigned | Unassigned |
| 24–122 | unassigned | Unassigned |
| 123–251 | reserved | Reserved |
| 255 | reserved | Reserved |
Источник: DNSSEC algorithm numbers and DS digest types (IANA), данные получены 2026-10-20. Лицензия на данные: CC0-1.0. DNS Security Algorithm Numbers
Алгоритм DNSSEC 5, RSA с SHA-1: запрещён (MUST NOT) для подписи, но всё ещё проверяется.
Рекомендации реестра запрещают (MUST NOT) RSA/SHA-1 для подписи из-за слабостей SHA-1, а валидаторы продолжают его принимать, чтобы оставшиеся подписанные зоны не перестали проходить проверку. Зонам, которые всё ещё используют алгоритм 5 или 7, следует перейти на алгоритм 13 или 15.
Алгоритм DNSSEC 8, RSA с SHA-256, по-прежнему самый распространённый алгоритм DNSSEC.
Многие домены верхнего уровня и корневая зона подписаны алгоритмом 8. Валидаторы обязаны (MUST) его поддерживать; для новых зон реестр рекомендует алгоритм 13 (или 15): его подписи намного меньше, поэтому ответы остаются компактными.
Алгоритм DNSSEC 13, ECDSA на P-256: рекомендуемый алгоритм для подписи зон.
Алгоритм 13 (RFC 6605) даёт 64-байтовые подписи и 64-байтовые ключи, намного меньше, чем у RSA, поэтому ответы DNSSEC не выходят за пределы, после которых начинается фрагментация. Реестр IANA помечает его как рекомендуемый (RECOMMENDED) для подписи и обязательный (MUST) для проверки (RFC 9904 перенёс эти рекомендации в реестр).
Алгоритм DNSSEC 15, Ed25519 (RFC 8080), рекомендован и для подписи, и для проверки.
Подписи Ed25519 детерминированы, поэтому случайность для каждой подписи не нужна. Поддержка у валидаторов росла медленно, поэтому для новых зон по-прежнему чаще выбирают алгоритм 13.
Алгоритмы дайджеста для DS-записей с рекомендациями для делегирования и проверки.
| Значение | Хеш | Описание | Ссылки |
|---|---|---|---|
1 | SHA-1 | Тип дайджеста DS 1 использует SHA-1. Делегирование: запрещено (MUST NOT); проверка: рекомендуется (RECOMMENDED). | RFC 3658RFC 9905 |
2 | SHA-256 | Тип дайджеста DS 2 использует SHA-256. Делегирование: рекомендуется (RECOMMENDED); проверка: рекомендуется (RECOMMENDED). | RFC 4509 |
3 | GOST R 34.11-94 | Тип дайджеста DS 3 использует GOST R 34.11-94. Делегирование: запрещено (MUST NOT); проверка: запрещено (MUST NOT). | RFC 5933Change the status of GOST Signature Algorithms in DNSSEC in the IETF stream to HistoricRFC 9906 |
4 | SHA-384 | Тип дайджеста DS 4 использует SHA-384. Делегирование: допускается (MAY); проверка: рекомендуется (RECOMMENDED). | RFC 6605 |
5 | Streebog-256 | Тип дайджеста DS 5 использует Streebog-256. Делегирование: допускается (MAY); проверка: допускается (MAY). | RFC 9558 |
6 | SM3 | Тип дайджеста DS 6 использует SM3. Делегирование: допускается (MAY); проверка: допускается (MAY). | RFC 9563 |
| Диапазон | Статус | Описание |
|---|---|---|
| 0 | reserved | Reserved |
| 7–127 | unassigned | Unassigned |
| 128–252 | reserved | Reserved |
| 253–254 | private | Reserved for Private Use |
| 255 | unassigned | Unassigned |
Источник: DNSSEC algorithm numbers and DS digest types (IANA), данные получены 2026-10-20. Лицензия на данные: CC0-1.0. Digest Algorithms (DS RR Type Digest Algorithms)