Помните в прошлом году ICANN хотела заменить мастер ключ KSK для всех DNSSEC зон, но так и не сложилось. В этом году будет попытка номер два - объявленная дата 11 Октября.

Новый ключ KSK-2017 уже давно опубликован, будет выполнена только процедура замены старого KSK-2010, на новый. По этому поводу обновили документ с объяснениями чего ожидать. Предполагают что если что и сломается то затронет минимальное количество ресурсов и пользователей.

Следить за всем процессом можно на странице данного проекта. Там же есть и расследование причин, почему в прошлом году не получилось. Безопасность как правило это лишние затраты, менять ключи необходимо, но эта такая дополнительная работа...

C CAA вроде получше, но никто не шевелился всё равно до того момента как это стало обязательным, да и стало ли?