Le résolveur public 1.1.1.1 valide désormais les signatures DNSSEC produites avec ML-DSA-44, l’algorithme post-quantique normalisé par le NIST, dont chaque signature pèse 2 420 octets. C’est le premier test à l’échelle d’Internet du transport de réponses DNS massives et de la parade contre le repli vers des algorithmes fragilisés.

Le 11 octobre 2026, la clé de signature de la racine DNSSEC (KSK) passe de la KSK-2017 au tag de clé 38696 de la KSK-2024, et l’ancienne clé sera retirée en janvier 2027. Les opérateurs de résolveurs validants doivent vérifier que ce tag est installé avant l’échéance, faute de quoi leur résolution DNS tombera en panne sans aucun signe réseau.