DNS 查詢與解析器對比

選擇記錄型別後，查詢會同時發往四家公共解析器。答案並排展示，並附一張逐值對照表，顯示哪家解析器返回了哪條記錄——分歧一目瞭然，而不是被單一解析器的說法掩蓋。每條答案保留 TTL，每家解析器都會報告是否通過 DNSSEC 驗證了該域名。當解析器之間出現分歧時，頁面不會瞎猜：它會精確列出差異點，給出幾乎覆蓋所有真實情況的兩種解釋，並告訴你如何區分它們。
要查詢的域名
對比
就緒。尚未發出任何查詢。
輸入域名，選擇記錄型別，然後點選解析。
記錄型別、響應碼，以及那些看起來不對但其實正常的答案
記錄型別。A 把域名對映到 IPv4 地址，AAAA 對映到 IPv6 地址。CNAME 表示該域名是另一個名字的別名，解析器會沿著鏈路一直追到終點。MX 列出郵件伺服器，每條帶優先順序數字，數字最小的優先嚐試。TXT 存放自由文本，郵件策略就住在這裡：SPF 策略以 v=spf1 開頭，DKIM 金鑰掛在以 ._domainkey 結尾的選擇器名下，DMARC 策略位於域名前面的 _dmarc。NS 列出負責一個區域的名字伺服器，SOA 是區域自身的頭部記錄，包含否定答案的快取時間。SRV 定位某主機與埠上的服務，CAA 說明哪些證書機構可以為該域名簽發證書，PTR 是從地址反向對映到名字，TLSA 為單個服務固定證書。DS 與 DNSKEY 承載使 DNSSEC 驗證成為可能的金鑰，HTTPS 與 SVCB 描述如何到達某個服務，包括較新協議的引數。

響應碼。NOERROR 且沒有記錄，說明域名存在但沒有你所查型別的記錄。NXDOMAIN 說明域名完全不存在，而且這個答案會被快取一段時間，所以剛建立一分鐘的域名仍可能顯示為不存在。SERVFAIL 說明解析器未能完成解析，損壞的 DNSSEC 簽名是最常見的原因之一。REFUSED 說明解析器拒絕回答該查詢。

TTL。TTL 是解析器可以保留記錄的秒數。這正是兩家解析器可以在一段時間內合理地展示不同答案的原因：一家仍持有舊副本，直到它的計時器到期。這也是為什麼變更之後第一件事是檢查每家解析器是否都已跟上，而不是糾結其中一家是否錯了。

DNSSEC，一段話說清。報告 authenticated data 標誌的解析器表示，它能夠從域名自身的金鑰開始，用密碼學簽名驗證答案。缺少該標誌並不能證明被篡改：區域可能根本沒有簽名，或者解析器壓根不做驗證。當一家解析器報告失敗而其他解析器同時返回記錄時，才是值得關注的情形——因為偽造答案的模樣恰恰就是驗證失敗。

看起來不對但其實正常的答案。大型網站、內容網路以及任何採用位置感知 DNS 的服務都會刻意給不同解析器返回不同地址，所以分歧在那裡是正常的，不代表出了問題。A 或 AAAA 答案中出現 0.0.0.0、:: 或私有地址，通常是解析器運營方刻意的攔截，而不是鏈路劫持，但確實意味著解析器改動了答案。本頁會展示差異與推理過程，從不告訴你哪個才是“真正的答案”。