Nadat u DS-records hebt verwijderd en DNSSEC hebt uitgeschakeld voor een Cloud DNS-zone, kunnen DNSSEC-validerende resolvers de zone nog steeds niet oplossen. Wat moet u doen?

De correcte oplossing is om DNSSEC uit te schakelen bij uw domeinregistrar. Hoewel u de DS-records in Cloud DNS hebt verwijderd, moeten deze wijzigingen ook worden doorgevoerd bij de registrar die de bovenliggende zone beheert. De registrar is verantwoordelijk voor het publiceren van de DS-records in de bovenliggende zone, die essentieel zijn voor de DNSSEC-validatieketen. Zolang de registrar nog DS-records voor uw domein heeft gepubliceerd, zullen DNSSEC-validerende resolvers proberen de handtekeningen te controleren en falen, omdat de bijbehorende sleutels niet meer in uw Cloud DNS-zone aanwezig zijn. Het bijwerken van de TTL is niet voldoende, omdat dit alleen de cacheduur beïnvloedt, niet de validatiestatus. Het plaatsen van de zone in de TRANSFER-status is irrelevant voor DNSSEC-validatie. Het overdragen van het eigendom van het domein aan een nieuwe registrar is een drastische stap die het onderliggende probleem van de gepubliceerde DS-records niet direct oplost, tenzij de nieuwe registrar deze ook verwijdert.