rsasha1
DNSSEC 算法 5，即使用 SHA-1 的 RSA：不得（MUST NOT）用于签名，但验证时仍受支持。
由于 SHA-1 的弱点，注册表的指导把 RSA/SHA-1 标为不得（MUST NOT）用于签名，而验证器仍继续接受它，以免剩余的已签名区域验证失败。仍在使用算法 5 或 7 的区域应当轮换到 13 或 15。
DNSSEC 与 DANE
DNSSEC 算法编号与 DS 摘要类型
本页收录 IANA 注册表中的 DNSKEY 与 RRSIG 算法编号以及 DS 记录使用的摘要类型，并附 RFC 9904 给出的指导：在签名、委托和验证时分别应当使用哪些算法。
显示 26 项中的 26 项
DNSSEC 算法编号 · 20 个条目
DNSKEY 和 RRSIG 的算法编号，附 RFC 9904 关于签名和验证的建议。
| 值 | 助记符 | 说明 | 参考文献 |
|---|---|---|---|
0 | DELETE | DELETE（DNSSEC 算法 0）：Delete DS。区域签名：无建议；验证：无建议。 | RFC 4034RFC 4398RFC 8078 |
1 | RSAMD5 | RSAMD5（DNSSEC 算法 1）：RSA/MD5 (DEPRECATED, see 5)。区域签名：不得（MUST NOT）；验证：不得（MUST NOT）。 | RFC 3110RFC 4034 |
2 | DH | DH（DNSSEC 算法 2）：Diffie-Hellman。区域签名：无建议；验证：无建议。 | RFC 2539 |
3 | DSA | DSA（DNSSEC 算法 3）：DSA/SHA1。区域签名：不得（MUST NOT）；验证：不得（MUST NOT）。 | RFC 3755RFC 2536Federal Information Processing Standards Publication (FIPS PUB) 186, Digital Signature Standard, 18 May 1994Federal Information Processing Standards Publication (FIPS PUB) 180-1, Secure Hash Standard, 17 April 1995. (Supersedes FIPS PUB 180 dated 11 May 1993.) |
5说明 | RSASHA1 | RSASHA1（DNSSEC 算法 5）：RSA/SHA-1。区域签名：不得（MUST NOT）；验证：推荐（RECOMMENDED）。 | RFC 3110RFC 4034RFC 9905 |
6 | DSA-NSEC3-SHA1 | DSA-NSEC3-SHA1（DNSSEC 算法 6）：DSA-NSEC3-SHA1。区域签名：不得（MUST NOT）；验证：不得（MUST NOT）。 | RFC 5155 |
7 | RSASHA1-NSEC3-SHA1 | RSASHA1-NSEC3-SHA1（DNSSEC 算法 7）：RSASHA1-NSEC3-SHA1。区域签名：不得（MUST NOT）；验证：推荐（RECOMMENDED）。 | RFC 5155RFC 9905 |
8说明 | RSASHA256 | RSASHA256（DNSSEC 算法 8）：RSA/SHA-256。区域签名：推荐（RECOMMENDED）；验证：推荐（RECOMMENDED）。 | RFC 5702 |
10 | RSASHA512 | RSASHA512（DNSSEC 算法 10）：RSA/SHA-512。区域签名：不推荐（NOT RECOMMENDED）；验证：推荐（RECOMMENDED）。 | RFC 5702 |
12 | ECC-GOST | ECC-GOST（DNSSEC 算法 12）：GOST R 34.10-2001 (DEPRECATED)。区域签名：不得（MUST NOT）；验证：不得（MUST NOT）。 | RFC 5933Change the status of GOST Signature Algorithms in DNSSEC in the IETF stream to HistoricRFC 9906 |
13说明 | ECDSAP256SHA256 | ECDSAP256SHA256（DNSSEC 算法 13）：ECDSA Curve P-256 with SHA-256。区域签名：推荐（RECOMMENDED）；验证：推荐（RECOMMENDED）。 | RFC 6605 |
14 | ECDSAP384SHA384 | ECDSAP384SHA384（DNSSEC 算法 14）：ECDSA Curve P-384 with SHA-384。区域签名：可以（MAY）；验证：推荐（RECOMMENDED）。 | RFC 6605 |
15说明 | ED25519 | ED25519（DNSSEC 算法 15）：Ed25519。区域签名：推荐（RECOMMENDED）；验证：推荐（RECOMMENDED）。 | RFC 8080 |
16 | ED448 | ED448（DNSSEC 算法 16）：Ed448。区域签名：可以（MAY）；验证：推荐（RECOMMENDED）。 | RFC 8080 |
17 | SM2SM3 | SM2SM3（DNSSEC 算法 17）：SM2 signing algorithm with SM3 hashing algorithm。区域签名：可以（MAY）；验证：可以（MAY）。 | RFC 9563 |
18 | MLDSA44 | MLDSA44（DNSSEC 算法 18）：ML-DSA-44。区域签名：可以（MAY）；验证：可以（MAY）。 | draft-westerbaan-dnssec-mldsa-03 |
23 | ECC-GOST12 | ECC-GOST12（DNSSEC 算法 23）：GOST R 34.10-2012。区域签名：可以（MAY）；验证：可以（MAY）。 | RFC 9558 |
252 | INDIRECT | INDIRECT（DNSSEC 算法 252）：Reserved for Indirect Keys。区域签名：无建议；验证：无建议。 | RFC 4034 |
253 | PRIVATEDNS | PRIVATEDNS（DNSSEC 算法 253）：private algorithm。区域签名：可以（MAY）；验证：可以（MAY）。 | RFC 4034 |
254 | PRIVATEOID | PRIVATEOID（DNSSEC 算法 254）：private algorithm OID。区域签名：可以（MAY）；验证：可以（MAY）。 | RFC 4034 |
未分配和保留的范围 · 7 个条目
| 范围 | 状态 | 说明 |
|---|---|---|
| 4 | reserved | Reserved |
| 9 | reserved | Reserved |
| 11 | reserved | Reserved |
| 19–22 | unassigned | Unassigned |
| 24–122 | unassigned | Unassigned |
| 123–251 | reserved | Reserved |
| 255 | reserved | Reserved |
来源：DNSSEC algorithm numbers and DS digest types（IANA），获取于 2026-10-20。数据许可证：CC0-1.0。 DNS Security Algorithm Numbers
重要条目说明
rsasha256
DNSSEC 算法 8，即使用 SHA-256 的 RSA，至今仍是部署最广泛的 DNSSEC 算法。
许多顶级域和根区都使用算法 8 签名。验证器必须（MUST）支持它；对于新区域，注册表推荐算法 13（或 15），其签名小得多，能让响应保持较小。
ecdsap256sha256
DNSSEC 算法 13，即 P-256 上的 ECDSA：推荐用于区域签名的算法。
算法 13（RFC 6605）生成 64 字节的签名和 64 字节的密钥，远小于 RSA，能让 DNSSEC 响应不超过分片限制。IANA 注册表把它标为签名时推荐使用（RECOMMENDED）、验证时必须支持（MUST）；RFC 9904 把这项指导移入了注册表。
ed25519
DNSSEC 算法 15，即 Ed25519（RFC 8080），签名和验证均推荐使用。
Ed25519 签名是确定性的，因此每次签名都不需要随机性。验证器对它的支持增长缓慢，这就是新区域仍更常选择算法 13 的原因。
DNSSEC DS 摘要类型 · 6 个条目
DS 记录的摘要算法，附关于委托和验证的建议。
| 值 | 哈希 | 说明 | 参考文献 |
|---|---|---|---|
1 | SHA-1 | DS 摘要类型 1 使用 SHA-1。委托：不得（MUST NOT）；验证：推荐（RECOMMENDED）。 | RFC 3658RFC 9905 |
2 | SHA-256 | DS 摘要类型 2 使用 SHA-256。委托：推荐（RECOMMENDED）；验证：推荐（RECOMMENDED）。 | RFC 4509 |
3 | GOST R 34.11-94 | DS 摘要类型 3 使用 GOST R 34.11-94。委托：不得（MUST NOT）；验证：不得（MUST NOT）。 | RFC 5933Change the status of GOST Signature Algorithms in DNSSEC in the IETF stream to HistoricRFC 9906 |
4 | SHA-384 | DS 摘要类型 4 使用 SHA-384。委托：可以（MAY）；验证：推荐（RECOMMENDED）。 | RFC 6605 |
5 | Streebog-256 | DS 摘要类型 5 使用 Streebog-256。委托：可以（MAY）；验证：可以（MAY）。 | RFC 9558 |
6 | SM3 | DS 摘要类型 6 使用 SM3。委托：可以（MAY）；验证：可以（MAY）。 | RFC 9563 |
未分配和保留的范围 · 5 个条目
| 范围 | 状态 | 说明 |
|---|---|---|
| 0 | reserved | Reserved |
| 7–127 | unassigned | Unassigned |
| 128–252 | reserved | Reserved |
| 253–254 | private | Reserved for Private Use |
| 255 | unassigned | Unassigned |
来源：DNSSEC algorithm numbers and DS digest types（IANA），获取于 2026-10-20。数据许可证：CC0-1.0。 Digest Algorithms (DS RR Type Digest Algorithms)