DNSSEC 如何保护邮件相关 DNS（MX/SPF/DKIM 记录不被篡改）？

DNSSEC 用数字签名链为 DNS 记录（含 MX、TXT/SPF、DKIM 选择器）提供“来源真实、未被篡改”的密码学保证，解析端验证 RRSIG。

攻击者若劫持/投毒 DNS，可改 MX 把邮件引到恶意服务器、或改 SPF/DKIM 记录削弱验证；DNSSEC 让这些记录“不可伪造”，提升邮件链路根基安全。

DNSSEC 保护“DNS 层”，不替代 DANE/MTA-STS；它保证你查到的记录是真的，但需解析器与上游支持验证（AD 位）。

域名注册商/解析开启 DNSSEC 并正确维护 DS 记录；邮件系统依赖的 SPF/DKIM/MX 所在域建议全部签名。