تغيير مفتاح KSK الجذر 2026: لماذا تراجع مستخدمو التحقق من DNSSEC في مصر وقائمة فحص لخوادم DNS في الشركات قبل 11 يناير 2027
الخلاصة السريعة: في 11 أكتوبر 2026 بدأ مفتاح جديد اسمه KSK-2024 (رقم المفتاح 38696) بتوقيع منطقة الجذر في نظام أسماء النطاقات DNS بدلًا من المفتاح KSK-2017. مرّ تغيير مفتاح KSK الجذر عالميًا دون انقطاع كبير، لكن قياسات APNIC وضعت مصر ضمن الدول الأكثر تراجعًا في عدد مستخدمي التحقق من DNSSEC بنحو 301 ألف مستخدم. إذا كانت شركتك أو عيادتك تشغّل خادم DNS داخليًا أو جدار حماية يتحقق من DNSSEC، فتأكد من وجود المفتاح 38696 قبل موعد إلغاء المفتاح القديم في 11 يناير 2027.
يتناول هذا الدليل تغيير مفتاح KSK الجذر من زاوية الشركات والعيادات في مصر: ما الذي تغيّر فعلًا، وماذا تقول الأرقام عن السوق المصري، وكيف يفحص فريق تقنية المعلومات خوادمه في أقل من ساعة، وما المواعيد القادمة التي يجب وضعها على تقويم الصيانة.
ما هو تغيير مفتاح KSK الجذر؟
مفتاح توقيع المفاتيح الجذري (Root KSK) هو المفتاح التشفيري الذي يعمل بوصفه مرساة الثقة (Trust Anchor) لامتدادات أمان نظام أسماء النطاقات DNSSEC؛ فكل محلّل DNS يتحقق من التوقيعات يبدأ سلسلة الثقة من هذا المفتاح، ثم ينزل منها إلى النطاقات العليا مثل .com و.eg، ثم إلى نطاق موقعك.
أما تغيير المفتاح (Rollover) فهو استبدال هذا المفتاح بمفتاح جديد وفق جدول معلن مسبقًا. وبحسب دليل ICANN المنشور في 27 يوليو 2026، فإن منطقة الجذر موقّعة منذ عام 2010، وفيها نوعان من المفاتيح: مفاتيح توقيع المنطقة (ZSK) التي تُستبدل كل ثلاثة أشهر، ومفتاح KSK أطول عمرًا يوقّع مجموعة المفاتيح نفسها. وقد جرى أول تغيير للمفتاح الجذري في أكتوبر 2018، وهذا هو التغيير الثاني، وأول تغيير يتبع دورة مثالية مدتها ثلاث سنوات كما تصفها هيئة IANA.
الجدول الزمني الرسمي للتغيير
| التاريخ | الحدث | ماذا يعني لك |
|---|---|---|
| 11 يناير 2025 | نشر KSK-2024 في منطقة الجذر | بداية فترة الاستعداد التي امتدت نحو 21 شهرًا |
| 10 فبراير 2025 | بدء ثقة المحللات التي تتبع RFC 5011 بالمفتاح الجديد | المحللات ذات التحديث التلقائي أضافت المفتاح دون تدخل |
| 11 أكتوبر 2026 (14:00 UTC، أي الخامسة مساءً بتوقيت القاهرة) | KSK-2024 يوقّع الجذر ويتوقف KSK-2017 عن التوقيع | أي محلل لا يثق إلا بالمفتاح 20326 يفشل في التحقق |
| 11 يناير 2027 | نشر KSK-2017 مع علامة الإلغاء REVOKE | نقطة مراجعة ثانية لخوادمك |
| 22 مارس 2027 | حذف KSK-2017 من منطقة الجذر | نهاية دورة التغيير الحالية |
المصدر: صفحة مراسي الثقة وتغيير المفاتيح لدى IANA، وهي تصف KSK-2024 بأنه المفتاح النشط برقم 38696، وKSK-2017 برقم 20326 بأنه «ما زال مرساة ثقة صالحة» في مرحلة ما بعد النشر.
ماذا حدث في مصر؟ قراءة في أرقام APNIC بعد تغيير المفتاح
نشر الباحث جيف هيوستن على مدونة APNIC في 21 أكتوبر 2026 تحليلًا بعنوان «تغيير مفتاح الجذر: ماذا حدث؟» اعتمد فيه على شبكة قياس قائمة على الإعلانات. وأهم ما جاء فيه:
- ارتفع المتوسط العالمي لنسبة التحقق من DNSSEC من 39.7% قبل التغيير إلى 40.6% بعده، وخلص التحليل إلى أن التغيير نجح ولم يحدث انقطاع كبير.
- من بين 13,538 شبكة جرى قياسها، تراجعت نسبة التحقق في 58 شبكة بنسبة 50% أو أكثر، وفي 660 شبكة بنسبة 10% أو أكثر.
- ظهرت مصر في الجدول الثاني الخاص بالدول صاحبة أكبر تراجع في عدد مستخدمي التحقق: إجمالي مستخدمين مقدّر بنحو 63,180,212، وانخفض عدد مستخدمي التحقق المقدّر من 47,591,181 قبل التغيير إلى 47,290,182 بعده، أي بفارق 300,999 مستخدم.
وبحساب بسيط من أرقام APNIC نفسها، فإن نحو 75% من مستخدمي الإنترنت في مصر يقفون خلف محللات تتحقق من DNSSEC، وهي نسبة مرتفعة مقارنة بالمتوسط العالمي. ويعني ذلك أن الغالبية اجتازت التغيير بسلام، وأن التراجع يمثل نحو 0.6% فقط من مستخدمي التحقق في مصر، لكنه يدل أيضًا على أن شبكات بعينها لم تكن مستعدة.
تنبيه مهم: هذه تقديرات إحصائية لا تحدد أسماء شبكات أو مزودين في مصر، ولا تثبت أن كل التراجع سببه تغيير المفتاح وحده. كما أعلنت ICANN في 15 أكتوبر 2026 أنها على علم ببلاغات عن مشكلات أصابت «عددًا محدودًا من الأنظمة» وأنها ما زالت تقيّم علاقتها بالتغيير.
لماذا يخص تغيير مفتاح KSK الجذر شركتك وليس مزود الإنترنت فقط؟
معظم المستخدمين المنزليين يعتمدون على محللات مزود الخدمة، لكن الشركات والعيادات كثيرًا ما تشغّل محللات خاصة بها دون أن تنتبه لذلك. ومن أشهر الأماكن التي يختبئ فيها محلل يتحقق من DNSSEC:
- خوادم Windows Server التي تعمل بدور DNS داخل بيئات Active Directory.
- جدران الحماية وأجهزة UTM التي تقدم خدمة DNS لأجهزة الشبكة الداخلية.
- خوادم Linux أو خوادم VPS التي تشغّل BIND أو Unbound أو Knot Resolver أو PowerDNS Recursor.
- الحاويات والتطبيقات التي تستخدم محللًا مضبوطًا وقت البناء أو النشر، أو تعتمد على DNS-over-HTTPS، وهي حالة ينبّه إليها دليل ICANN صراحة.
- الخوادم والصور الافتراضية المستعادة من نسخ احتياطية قديمة لا تحتوي مرساة ثقتها إلا على المفتاح 20326.
ويشرح دليل ICANN «ماذا تتوقع أثناء تغيير مفتاح KSK الجذر» أن المحلل غير المستعد يبدأ في الفشل خلال 48 ساعة بعد التغيير، لأن مدة التخزين المؤقت (TTL) لمفاتيح الجذر 48 ساعة. وتظهر الأعراض في صورة صفحات ويب لا تفتح أو تظهر ناقصة، وبريد إلكتروني لا يصل، وأنظمة آلية تتوقف عن الاتصال بالخدمات السحابية. وإذا كانت أجهزة الشبكة موزعة بين محلل مستعد وآخر غير مستعد، فقد تكون الأعطال متقطعة، وهو ما يصعّب تشخيصها.
بالنسبة للعيادات تحديدًا، يعني ذلك أن نظام الحجز السحابي أو بوابة الدفع أو تكامل المعامل قد يتوقف عن العمل من داخل العيادة بينما يعمل بشكل طبيعي من هاتف الموظف عبر شبكة المحمول، فيضيع الوقت في البحث عن عطل في التطبيق بينما المشكلة في DNS.
قائمة فحص سمارت ون جروب لمفتاح KSK-2024: إطار الطبقات الأربع
هذا الإطار من إعداد فريق سمارت ون جروب، ويهدف إلى أن يغطي فريق تقنية المعلومات كل نقاط الخطر في أقل من ساعة عمل، استنادًا إلى توصيات ICANN وIANA.
الطبقة الأولى: هل يتحقق المحلل من DNSSEC أصلًا؟
توصي ICANN باختبار بسيط باستخدام النطاق التجريبي dnssec-failed.org المصمم ليفشل عمدًا في التحقق. نفّذ الأمر dig @ADDRESS dnssec-failed.org a +dnssec مع استبدال ADDRESS بعنوان المحلل لديك:
- إذا كانت النتيجة SERVFAIL فالمحلل يتحقق من DNSSEC، وانتقل إلى الطبقة الثانية.
- إذا كانت النتيجة NOERROR فالمحلل لا يتحقق، ولم يتأثر بالتغيير، لكن عليك أن تقرر هل تريد تفعيل التحقق مستقبلًا.
الطبقة الثانية: هل المفتاح 38696 موجود في مرساة الثقة؟
تطلب صفحة ICANN الخاصة بالتغيير من مشغلي المحللات ألا يفترضوا نجاح التحديث التلقائي، وأن يتحققوا بأنفسهم من وجود KSK-2024. وهذه أماكن الفحص في البرامج الأكثر شيوعًا:
| البرنامج | أين تفحص | ما الذي تبحث عنه |
|---|---|---|
| BIND | الأمر rndc managed-keys status مع إعداد dnssec-validation auto | ظهور المفتاح 38696 ضمن المفاتيح الموثوقة |
| Unbound | ملف root.key الذي يديره unbound-anchor | سطر المفتاح 38696 بحالة VALID |
| Windows Server DNS | الأمر Get-DnsServerTrustAnchor -Name . في PowerShell | مرساة ثقة برقم 38696 |
| جدران الحماية وأجهزة UTM | توثيق المصنّع وإصدار البرنامج الثابت | تأكيد المصنّع على دعم KSK-2024 |
الطبقة الثالثة: التطبيقات والحاويات والنسخ الاحتياطية
- راجع ملفات إعداد الحاويات والتطبيقات لمعرفة المحلل الذي تستخدمه فعلًا، فقد يختلف عن محلل نظام التشغيل.
- افحص أي صورة نظام أو نسخة احتياطية أُنشئت قبل فبراير 2025 قبل استعادتها، لأن مرساة الثقة فيها قد لا تحتوي إلا على المفتاح القديم.
- أضف فحص المفتاح 38696 إلى إجراءات تجهيز أي خادم جديد.
الطبقة الرابعة: المراقبة وخطة الطوارئ
- راقب الزيادات المفاجئة في ردود SERVFAIL في سجلات المحلل، فهي أول إنذار بفشل التحقق.
- إذا وقع العطل، يذكر دليل ICANN أن المشغل قد يعطل التحقق مؤقتًا أو يضيف مرساة ثقة سلبية للجذر وفق RFC 7646، ثم يثبّت KSK-2024 في أسرع وقت ويعيد تفعيل التحقق.
- وثّق هذه الخطوات في دليل التشغيل حتى لا يتحول التعطيل المؤقت إلى وضع دائم.
ماذا بعد؟ موعدا 11 يناير و22 مارس 2027
لم تنتهِ دورة التغيير بعد. ففي 11 يناير 2027 سيُنشر المفتاح القديم مع علامة الإلغاء، ثم يُحذف من الجذر في 22 مارس 2027. والمحللات المستعدة لا تحتاج إلى أي إجراء، لكننا ننصح باعتبار موعد يناير نقطة مراجعة ثانية. ولا داعي لحذف KSK-2017 يدويًا قبل موعده، فهيئة IANA تصفه حاليًا بأنه ما زال مرساة ثقة صالحة. ونظرًا لأن IANA تخطط لدورة مثالية مدتها ثلاث سنوات، فمن الحكمة وضع مراجعة مراسي الثقة على تقويم الصيانة الدوري.
ومن المهم التفريق بين أمرين: تغيير مفتاح الجذر يخص المحللات التي تتحقق من التوقيعات، بينما توقيع نطاقك نفسه يخص الخوادم الموثوقة لنطاقك. وقد شرحنا الجانب الثاني في مقالنا عن حالة DNSSEC في نطاقات .eg وقائمة فحص DNS للشركات. وإذا كانت خوادم DNS لديك تعمل على إصدار قديم من ويندوز، فراجع أيضًا خطة انتهاء دعم Windows Server 2016.
كيف تساعدك سمارت ون جروب؟
يستطيع فريقنا تنفيذ فحص الطبقات الأربع على خوادمك وجدار الحماية وتطبيقاتك، وتوثيق النتائج وخطة الطوارئ، ضمن خدمات الاستضافة والخوادم وعقود الدعم الفني. كما نساعدك في إدارة النطاقات وإعدادات DNS، ونراجع إعدادات DNS داخل الأنظمة المخصصة التي نطورها للعيادات والشركات. إذا أردت فحصًا سريعًا لبيئتك، تواصل معنا.
الأسئلة الشائعة
هل أحتاج إلى أي إجراء إذا كان كل شيء يعمل بعد 11 أكتوبر 2026؟
غالبًا لا، لأن فترة الـ48 ساعة التي يظهر فيها الفشل انتهت في 13 أكتوبر 2026. لكن الخطر ما زال قائمًا عند استعادة خادم من نسخة احتياطية قديمة، أو تركيب جهاز جديد بإعدادات قديمة، لذلك يُنصح بفحص الطبقة الثانية مرة واحدة وتوثيق النتيجة.
ما رقم مفتاح KSK الجذري الجديد؟
المفتاح الجديد هو KSK-2024 ورقمه 38696، وقد بدأ التوقيع في 11 أكتوبر 2026. أما المفتاح السابق KSK-2017 فرقمه 20326، وقد وقّع الجذر من 11 أكتوبر 2018 حتى 11 أكتوبر 2026.
هل يعني تغيير مفتاح الجذر أن عليّ تغيير إعدادات DNSSEC لنطاقي .eg أو .com؟
لا. مفتاح الجذر يخص المحللات التي تتحقق من التوقيعات، ولا يغيّر مفاتيح نطاقك أو سجلات DS الخاصة به لدى المسجل.
ما أعراض محلل DNS غير مستعد للمفتاح الجديد؟
بحسب ICANN: صفحات ويب لا تفتح أو تظهر ناقصة، وبريد لا يصل، وأنظمة آلية تتوقف، وقد تكون الأعطال متقطعة إذا كانت الشبكة تستخدم أكثر من محلل. والعلامة التقنية الأوضح هي ردود SERVFAIL لنطاقات سليمة.
هل تعطيل التحقق من DNSSEC حل دائم؟
لا. تعتبره ICANN إجراءً مؤقتًا لإيقاف العطل فورًا، يليه تثبيت KSK-2024 وإعادة تفعيل التحقق، لأن التحقق يحمي مستخدميك من ردود DNS المزيفة.
متى يحدث التغيير القادم لمفتاح الجذر؟
تخطط IANA لدورة مثالية مدتها ثلاث سنوات، ينشر فيها المفتاح الجديد قبل نحو عامين من استخدامه. ولم نجد موعدًا رسميًا للتغيير القادم حتى تاريخ كتابة المقال، لذلك تابع صفحة ICANN الخاصة بتغيير المفتاح.
