DNS 전파 — 리졸버마다 답이 다를 수 있다
설정을 바꾸면 전 세계 DNS 서버가 동시에 알게 되는 것이 아니라, 각자 갖고 있던 옛 답이 만료될 때까지 기다렸다 새로 가져갑니다. 이 검사는 구글·클라우드플레어·Quad9·KT 네 곳에 각각 물어 응답이 같은지 보여 줍니다. 다르다면 아직 퍼지는 중입니다.
CAA — 아무나 인증서를 못 만들게
CAA 레코드가 없으면 세상의 어느 인증기관이든 우리 도메인 이름으로 인증서를 발급할 수 있습니다. 한 줄 추가해 두면 지정한 기관만 발급할 수 있어, 잘못된 발급 사고를 줄일 수 있습니다.
DNSSEC — 응답이 위조되지 않았다는 서명
DNS 응답에 서명을 붙여 중간에서 바꿔치기하는 공격을 막습니다. 필수는 아니지만, 요즘 등록처는 대부분 스위치 하나로 켤 수 있습니다.