拡張 DNS エラーコード

Extended DNS Error Codes ↗（RFC 8914 で定義）は、DNS エラーの原因について追加情報を返す仕組みです。DNS クエリが失敗したとき、標準の応答コード（SERVFAIL など）だけでは、なぜ失敗したかがわからないことがよくあります。Extended DNS Error Codes は、より具体的なエラーコードと説明テキストを応答に付けることで、推測に頼らず正確な原因を特定できます。

1.1.1.1 は Extended DNS Error Codes に対応しています。以下は、1.1.1.1 が返すエラーコード、意味、対処の手順です。これらのエラーの多くは DNSSEC（DNS Security Extensions）に関係します。DNSSEC は、改ざんを防ぐために DNS レコードへ暗号署名を付ける一連のプロトコルです。サーバーが含める場合、Extended DNS Error Codes は dig 応答の OPT PSEUDOSECTION に自動的に表示されます。例:

dig @1.1.1.1 example.com A

コード番号	コード名	出力例	次の手順
1	Unsupported DNSKEY Algorithm	`EDE: 1 (Unsupported DNSKEY Algorithm): (failed to verify example.com. A: unsupported key size, DNSKEY example.com., id = 12345)`	ドメインは DNSSEC 検証に失敗しました。ウェブサイトが使っている署名鍵アルゴリズムを確認し、1.1.1.1 が対応していることを確かめてください。
2	Unsupported DS Digest Type	`EDE: 2 (Unsupported DS Digest Type): (no supported DS digest type for example.com.)`	DS レコードのダイジェストタイプが非対応のため、ドメインは DNSSEC 検証に失敗しました。提供された DS レコードのいずれも対応していない場合、ドメインは解決できません。レジストラで対応している DS レコードを追加してください。
3	Stale Answer	`EDE: 3 (Stale Answer)`	サイレントエラーです。DNS リゾルバーが古い（stale）データしか返せなかったことを知らせます。問題が続く場合は、1.1.1.1 のコミュニティフォーラム ↗に連絡してください。
6	DNSSEC Bogus	`EDE: 6 (DNSSEC Bogus): (proof of non-existence of example.com. A)` `EDE: 6 (DNSSEC Bogus): (found duplicate CNAME records for example.com. (1 duplicate RRs))`	このドメインは DNSSEC 検証に失敗しました。対象レコードの署名、または対象レコードが存在しないことの証明が無効です。DNS の設定を確認してください。
7	Signature Expired	`EDE: 7 (Signature Expired): (for DNSKEY example.com., id = 12345: RRSIG example.com., expiration = 123456)`	署名の期限切れのため、このドメインは DNSSEC 検証に失敗しました。ゾーンが有効な DNSSEC 署名で署名されていることを確認してください。
8	Signature Not Yet Valid	`EDE: 8 (Signature Not Yet Valid): (for DNSKEY example.com., id = 12345: RRSIG example.com., inception = 12345)`	このドメインは DNSSEC 検証に失敗しました。ゾーンが有効な DNSSEC 署名で署名されていることを確認してください。
9	DNSKEY Missing	`EDE: 9 (DNSKEY Missing): (no SEP matching the DS found for example.com.)`	このドメインは DNSSEC 検証に失敗しました。レジストリの DS レコードセットに一致する SEP DNSKEY がありません。現在の DS セットに一致する鍵でゾーンに署名するか、レジストラで不足している DS レコードを追加してください。
10	RRSIGs Missing	`EDE: 10 (RRSIGs Missing): (for DNSKEY example.com., id = 12345)`	1.1.1.1 は、レコードの真正性を検証するための Resource Record Signature（RRSig）を取得できませんでした。DNS の設定と応答コードを確認してください。応答コードが `SERVFAIL` でない場合、経路上のどこかに非運用キーの問題がありますが、リゾルバーは検証に成功する経路を少なくとも1つ見つけています。非運用キーの問題の例には、進行中のキーロールオーバー、スタンバイキー、攻撃者があるキーによる署名を取り除いている場合などがあります。
11	No Zone Key Bit Set	`EDE: 11 (No Zone Key Bit Set): (for DNSKEY example.com., id = 12345)`	このドメインは DNSSEC 検証に失敗しました。ゾーンの SEP DNSKEY は Zone Key フラグを立てる ↗必要があります。DNSSEC の設定または DNSSEC のトラブルシューティングガイドを確認してください。
12	NSEC Missing	`EDE: 12 (NSEC Missing): failed to verify an insecure referral proof for example.com`	このドメインは DNSSEC 検証に失敗しました。上流のネームサーバーが、対象名が存在しないことの有効な証明を含めていません。ゾーンが DNSSEC で署名されており、有効な NSEC/NSEC3 レコード ↗があることを確認してください。
13	Cached Error	`EDE: 13 (Cached Error)`	1.1.1.1 はキャッシュ済みのエラーを返しました。問題が続く場合は、コミュニティフォーラム ↗に連絡してください。
22	No Reachable Authority	`EDE: 22 (No Reachable Authority): (at delegation example.com.)`	1.1.1.1 は、権威ネームサーバーの一部または全部に到達できませんでした（または解決を拒否された可能性があります）。権威ネームサーバーが過負荷、または一時的に利用できない場合に起きることがあります。問題が続く場合は、コミュニティフォーラム ↗に連絡してください。
23	Network Error	`EDE: 23 (Network Error): (1.1.1.1:53 rcode=SERVFAIL for example.com. A)`	1.1.1.1 は上流ネームサーバーへのネットワーク経路を特定できないか、ネームサーバーが応答しませんでした。問題が続く場合は、コミュニティフォーラム ↗に連絡してください。
30	Invalid Query Type	`EDE: 30 (Invalid Query Type): Invalid Query Type`	リクエストのレコードタイプでは有効な回答を返せません。A や AAAA などの標準的なクエリタイプでこれが返る場合は、コミュニティフォーラム ↗に連絡してください。
33	Negative Trust Anchor	`EDE: 33 (Negative Trust Anchor): (a Negative Trust Anchor has been applied for this query (see RFC 7646))`	このクエリに Negative Trust Anchor ↗ が適用され、DNSSEC 検証がバイパスされました。詳細は Cloudflare ステータスページ ↗を確認し、EDE 33 に関するブログ記事 ↗も参照してください。