Проблемы с переходом на новый DNSSEC вызвали недоступность доменов .AL. В результате, ресурсы правительства и банков в Албании оказались недоступны для пользователей.
Что происходит с .AL
3 июля 2026 года албанские операторы TLD .AL попытались выполнить переход на новый ключ DNSSEC, что довело до сбоя в валидации. Все DNS-резолверы, следуя DNSSEC-стандартам, начали возвращать ошибки, и 1.1.1.1 от Cloudflare не стал исключением.
Это означало, что все пользователи, пытавшиеся получить доступ к албанским сайтам, использующим DNSSEC для безопасности, столкнулись с недоступностью. Все сайты из области .AL, включая правительственные и банковские, были недоступны для валидационных резолверов.
Как Cloudflare реагирует на ситуацию
Ранее в аналогичной ситуации в Германии с доменом .DE, Cloudflare установил Negative Trust Anchor (NTA), что временно отключило проверку DNSSEC для пользователей 1.1.1.1. То же самое было сделано для домена .AL. При этом пользователи не имели возможности понять, что проверка прошла без валидации, и могли столкнуться с подменой данных.
В результате инцидента Cloudflare предприняла шаги для улучшения информирования пользователей. Теперь 1.1.1.1 возвращает новый код Extended DNS Error (EDE) для ответов, которые не прошли валидацию DNSSEC. Это позволяет пользователям осознавать, что ответ был выдан без проверки, и обеспечивает большую безопасность при работе с DNS.
Выводы для разработчиков и администраторов
Для разработчиков ресурсных систем и администраторов стало очевидно, что поддержание правильной конфигурации DNSSEC критически важно. Без правильного указания DNSKEY домены могут оказаться уязвимыми, и безопасность может быть под угрозой. Внедрение подобной функции в 1.1.1.1 позволяет лучше информировать пользователей о проблемах с их запросами.
Текущая ситуация с .AL остается критической, так как в настоящий момент этот домен не имеет поддержки DNSSEC. Операторы пока не восстановили DS-запись в корневой зоне, что оставляет ресурсы открытыми для атак и уязвимостей.