DNS 查询与解析器对比

选择记录类型后，查询会同时发往四家公共解析器。答案并排展示，并附一张逐值对照表，显示哪家解析器返回了哪条记录——分歧一目了然，而不是被单一解析器的说法掩盖。每条答案保留 TTL，每家解析器都会报告是否通过 DNSSEC 验证了该域名。当解析器之间出现分歧时，页面不会瞎猜：它会精确列出差异点，给出几乎覆盖所有真实情况的两种解释，并告诉你如何区分它们。
要查询的域名
对比
就绪。尚未发出任何查询。
输入域名，选择记录类型，然后点击解析。
记录类型、响应码，以及那些看起来不对但其实正常的答案
记录类型。A 把域名映射到 IPv4 地址，AAAA 映射到 IPv6 地址。CNAME 表示该域名是另一个名字的别名，解析器会沿着链路一直追到终点。MX 列出邮件服务器，每条带优先级数字，数字最小的优先尝试。TXT 存放自由文本，邮件策略就住在这里：SPF 策略以 v=spf1 开头，DKIM 密钥挂在以 ._domainkey 结尾的选择器名下，DMARC 策略位于域名前面的 _dmarc。NS 列出负责一个区域的名字服务器，SOA 是区域自身的头部记录，包含否定答案的缓存时间。SRV 定位某主机与端口上的服务，CAA 说明哪些证书机构可以为该域名签发证书，PTR 是从地址反向映射到名字，TLSA 为单个服务固定证书。DS 与 DNSKEY 承载使 DNSSEC 验证成为可能的密钥，HTTPS 与 SVCB 描述如何到达某个服务，包括较新协议的参数。

响应码。NOERROR 且没有记录，说明域名存在但没有你所查类型的记录。NXDOMAIN 说明域名完全不存在，而且这个答案会被缓存一段时间，所以刚创建一分钟的域名仍可能显示为不存在。SERVFAIL 说明解析器未能完成解析，损坏的 DNSSEC 签名是最常见的原因之一。REFUSED 说明解析器拒绝回答该查询。

TTL。TTL 是解析器可以保留记录的秒数。这正是两家解析器可以在一段时间内合理地展示不同答案的原因：一家仍持有旧副本，直到它的计时器到期。这也是为什么变更之后第一件事是检查每家解析器是否都已跟上，而不是纠结其中一家是否错了。

DNSSEC，一段话说清。报告 authenticated data 标志的解析器表示，它能够从域名自身的密钥开始，用密码学签名验证答案。缺少该标志并不能证明被篡改：区域可能根本没有签名，或者解析器压根不做验证。当一家解析器报告失败而其他解析器同时返回记录时，才是值得关注的情形——因为伪造答案的模样恰恰就是验证失败。

看起来不对但其实正常的答案。大型网站、内容网络以及任何采用位置感知 DNS 的服务都会刻意给不同解析器返回不同地址，所以分歧在那里是正常的，不代表出了问题。A 或 AAAA 答案中出现 0.0.0.0、:: 或私有地址，通常是解析器运营方刻意的拦截，而不是链路劫持，但确实意味着解析器改动了答案。本页会展示差异与推理过程，从不告诉你哪个才是“真正的答案”。