查一个域名，记录、传播、DNSSEC 一次摊开。
A / AAAA / MX / TXT / NS 一次列全，公共递归器与权威服务器同屏对照，DNSSEC 委托链逐段体检。
你的接入体检
边缘直读
读取中…
- 国家 / 城市—
- 运营商—
- ASN—
- 协议版本—
- 连接 / TLS—
这几项由你的浏览器连接直接读出，不查任何第三方接口；与下面的域名查询结果无关，只用来告诉你「本站看到了什么」。
解析链路
等待查询↳你的查询待查询
⟳递归解析器待查询
◈权威 NS待查询
▤TLD待查询
⌂根服务器待查询
查询从左边出发：你的请求交给递归解析器，它从右边的根问到 TLD 再问到权威 NS 拿答案。查完后每段点亮并标出该段的关键事实。
DNS 记录
等待查询还没查域名。输入 example.com，或 _dmarc.example.com 这类带下划线的主机名。
解析传播矩阵
等待查询同一类型分别问公共递归器，看谁已经拿到新答案。查询后这里会列出各解析器的答案与往返耗时。
查询后这里会列出各解析器的答案与往返耗时。
DNSSEC 链
等待查询这里做真正的 DNSSEC 密码学校验：用区里的 DNSKEY 验 RRSIG 签名（RSA/ECDSA/Ed25519），并沿父区 DS → 子区 DNSKEY 逐段核对委托链，最终给出 SECURE / BOGUS / INSECURE 结论。后端在服务器侧直连各权威完成，不经任何第三方递归器。
查询后逐段显示 DS / DNSKEY / RRSIG。
域名服务器与 SOA
等待查询查询后这里列出该域的 NS、它们的地址、逐台权威的 SOA 序列号，以及父区委托 NS 与子区自报 NS 的一致性体检。
查询后这里列出该域的 NS 与 SOA 序列号。
这几块怎么配合着用
- 刚改完记录传播矩阵 + SOA 序列号
- 邮件发不出去查 MX / TXT(_dmarc) / SPF
- 证书签发失败查 TXT _acme-challenge
- 被劫持疑虑DNSSEC 链 + AD 位
- NS 迁移中逐台权威问 SOA
下划线开头的主机名（_dmarc.、_acme-challenge.、_domainkey.）可以直接输入，不用做转义。
数据与隐私
- 记录来源本站后端直连权威 / 公共递归器
- 是否落库不写库、不留日志
- 是否注册免注册、无广告
- 缓存响应一律 no-store
你输入的域名会作为 DNS 查询发给后端所选服务器（这是查询本身必需的），本站不额外保存。DNSSEC 验签在服务端用标准密码学完成。
直接用后端 API
本站后端提供同源 JSON API，可指定服务器、rd 标志与 DNSSEC 校验：
# 递归解析 + DNSSEC 校验（默认后端直连权威）
GET /api/dns?name=example.com&type=A&dnssec=1
# 指定服务器、rd=0 直问权威（真值查询）
GET /api/dns?name=example.com&type=A&server=1.1.1.1&rd=0
# 解析传播矩阵（公共递归器 + 各台权威）
GET /api/propagation?name=example.com&type=A
# 逐台权威 SOA 序列号一致性
GET /api/soa?name=example.com