「昨日から、会社のネットワークからだけ、どのサイトも開けない」「スマートフォンの回線では開けるのに、社内では開けない」。
2026年10月11日、インターネットの住所録にあたる DNS の、最上位の鍵（ルートの KSK：Key Signing Key）が切り替わりました。
本記事では、何が変わったのか、Webサイトの運営者は何をすればよいのか、社内のネットワークでサイトが開けないときにどう確かめるかを説明いたします。
結論：多くのサイトの運営者は、変更は不要です
- Webサイトを公開している側は、通常は何も変える必要がありません。Cloudflare は「ほとんどの Webサイトの運営者は、この切り替えのために変更をする必要はない」と説明しています
- 確かめる必要があるのは、社内で DNS の名前解決のサーバー（リゾルバー）を自前で動かしている場合です。古い設定のままだと、正常なサイトにも届かなくなるおそれがあります
- Cloudflare の DNS・1.1.1.1 は、新しい鍵に対応済みです。Cloudflare の名前解決のソフトウェアには、2024年7月から新しい鍵が組み込まれています
何が切り替わったのか
DNS には、答えが偽物でないことを確かめる仕組み（DNSSEC）があります。
その確かめの出発点になる、いちばん上の鍵が「ルートの KSK」です。
今回、2017年からの鍵（KSK-2017、番号 20326）から、新しい鍵（KSK-2024、番号 38696）へ切り替わりました。ルートの鍵の切り替えは、今回が2回目です。
| 切り替えの日 | 2026年10月11日 |
|---|---|
| 古い鍵 | KSK-2017（番号 20326） |
| 新しい鍵 | KSK-2024（番号 38696）。2025年1月11日からルートに掲載済み |
| 暗号の方式 | どちらも RSA/SHA-256（変わりません） |
| 今後の予定 | 古い鍵の失効と削除は2027年の予定（ICANN） |
影響を受けるのは、どんな環境か
影響を受けるのは、DNSSEC の確かめを行う名前解決のサーバーのうち、新しい鍵を信頼していないものです。
そのサーバーを使っている端末からは、どのドメインのサイトにも届かなくなるおそれがあります。
次のような場面にあてはまる場合は、社内のネットワークの担当の方へ確認をお勧めします。
- 社内のネットワークからだけ、多くのサイトが開けない
- スマートフォンの回線に切り替えると開ける
- 社内に、長く設定を見直していない DNS のサーバー（BIND・Unbound・Windows Server の DNS など）がある
確かめ方：ブラウザーで開くだけの方法
Cloudflare が紹介している確認のページ https://dnstest.dev/ksk-2024/ を、社内のネットワークにつないだ端末のブラウザーで開くと、いま使っている名前解決のサーバーが新しい鍵を信頼しているかを確かめられます。
コマンドで確かめる場合は、規格（RFC 8509）で定められた、確かめ用の名前を問い合わせます。
| 問い合わせる名前 | 新しい鍵を信頼しているとき | 信頼していないとき |
|---|---|---|
| root-key-sentinel-is-ta-38696.dnstest.dev | 答えが返る | 失敗（SERVFAIL） |
| root-key-sentinel-not-ta-38696.dnstest.dev | 失敗（SERVFAIL） | 答えが返る |
2つの名前の結果が「逆になっている」ことが、新しい鍵を信頼している合図です。
どちらも答えが返る場合は、そのサーバーがこの確かめの仕組みに対応していないことを表し、判定はできません。新しい鍵が無いという意味ではありません。
弊社が手元で確かめた結果
2026年10月16日に、公開の名前解決のサービス2つへ、上の2つの名前を問い合わせました。
| 名前解決のサービス | is-ta-38696 | not-ta-38696 | 判定 |
|---|---|---|---|
| Cloudflare（1.1.1.1） | 答えが返った | 失敗（SERVFAIL） | 新しい鍵を信頼している |
| Google Public DNS（8.8.8.8） | 答えが返った | 答えが返った | 確かめの仕組みに未対応のため判定できない |
Google Public DNS で判定ができないことは、異常を表すものではありません。
このように、確かめの方法そのものに対応していないサーバーもあるため、判定できないときは、ブラウザーの確認のページと、サーバーの提供元の案内をあわせてご確認ください。
新しい鍵を信頼していなかったときの対処
- 名前解決のサーバーの提供元の案内に従い、新しい鍵（KSK-2024）を信頼する設定にします
- すぐに直せない場合は、社内の端末の DNS の参照先を、一時的に Cloudflare（1.1.1.1）などの対応済みのサービスへ向けます
- 直した後に、上の確認のページで、もう一度確かめます
まとめ
今回のルートの鍵の切り替えで、Webサイトを公開している側が変えることは、通常ありません。
「社内からだけ開けない」というご相談をいただいたときは、サイトの不具合を疑う前に、社内の名前解決のサーバーを確かめることをお勧めいたします。
弊社では、Cloudflare を使ったサイトの配信・保護の設定と、こうした「サイトが開けない」ときの切り分けをお手伝いしております。
出典
- Cloudflare Blog「The keys to the Internet change on October 11. Are you ready?」 https://blog.cloudflare.com/root-ksk-2024-rollover/（2026年10月16日 確認）
- IETF「RFC 8509 A Root Key Trust Anchor Sentinel for DNSSEC」 https://www.rfc-editor.org/rfc/rfc8509（2026年10月16日 確認）
- dnstest.dev「KSK-2024」 https://dnstest.dev/ksk-2024/（2026年10月16日 確認）