DNS查询：验证记录与设置变更
输入预期值并保存结果，即可比较Google与Cloudflare上的变化。不必逐项对照表格，便能检查DNS设置变更与域名验证值。免费使用，无需注册。
选择一种记录类型或一组记录，然后比较两个解析器的响应。
与已保存的结果相比，有什么变化？
选择保存为比较基准后，查询名称和公开DNS响应会在此标签页的会话存储中保留最多30分钟，不保存预期值。你可随时删除，浏览器也可能提前清除。输入和结果不会写入URL或分析事件。
DNS修改后仍未生效？
先保存结果，修改DNS设置后再检测。新增和移除的值按解析器分别比较。查询失败不会被视为记录已移除。
找不到TXT记录，或CNAME验证仍在等待？
使用验证值检查模式，检测准确的名称和预期值。DMARC使用_dmarc；DKIM需要服务方提供的选择器。此处匹配不代表服务方的验证流程已完成。
此工具从我们的服务器通过Cloudflare和Google查询公共记录。它不会识别你设备使用的DNS解析器，也不会测试VPN的DNS泄露。DNS查询的处理方式 →
如何查询和对比DNS记录
- 输入确切的DNS名称，例如example.com或_dmarc.example.com。
- 选择一种记录类型或一组记录，然后点击“比较 DNS”。分组查询只查询所输入的完整名称及列出的记录类型，不会查找子域名。
- 请将对比摘要、各条记录、TTL和响应代码结合起来解读。如果你最近更改过DNS，缓存的应答可能会保留到TTL到期。
我应该检查哪些DNS记录？
- 网站出现旧IP
- 在确切的主机名上，对比IPv4的A记录和IPv6的AAAA记录。www主机名可能使用与根域名不同的记录。注意应答链中的CNAME别名。
- 邮件仍发送到旧服务器
- 在你的邮件域名上查询MX，然后将邮件服务器名称和优先级与邮件服务商的设置进行对比。此查询列出的是已公布的路由记录，不会发送测试邮件。
- 域名验证尚未完成
- 在服务商要求的名称上查询TXT。SPF通常使用邮件域名；DMARC使用_dmarc，DKIM则需要服务商提供的选择器。请核对确切的文本，不要假设所有TXT记录都位于根域名。
为什么Cloudflare和Google DNS的结果不一致？
每个解析器都有自己的缓存。DNS变更后，旧的应答可能会保留到其TTL到期。CDN、负载均衡和地理DNS也可能返回不同但有效的地址。差异是值得调查的线索，并不等于自动判定失败。
我们对比的是应答记录集，忽略顺序和TTL。DNS名称比较时不区分大小写，也忽略末尾的点；IPv6写法会被规范化。TXT文本仍区分大小写。权威记录和DNSSEC标志会单独列出，不计入应答值的判定。
已更改DNS，却仍看到旧地址？
- 检查你实际更改的主机名和记录类型。根域名和www可能有不同的应答。
- 将返回的值与你的DNS服务商公布的配置进行对比。
- 请把TTL理解为剩余的缓存时间，而不是保证全球更新的倒计时。稍后再对比一次。
- 如果某个解析器失败，请重试并检查响应代码。不要把它缺少的响应当作结果一致。
各记录类型的含义
- A / AAAA
- 为该名称公布的IPv4和IPv6地址。这些地址可能属于CDN或代理，而不是源服务器。
- MX
- 邮件服务器及其优先级。优先级数字越小，越先尝试。
- TXT
- 文本记录，例如SPF或域名验证。DMARC请使用_dmarc.example.com；DKIM需要正确的选择器名称。
- NS / SOA
- 名称服务器和区域管理数据。查询这些记录时请使用区域名称。
- CNAME
- 指向另一个DNS名称的别名。A和AAAA应答中也可能包含CNAME链。
- CAA
- 证书颁发机构授权记录。仅缺少此记录本身并不算安全缺陷。
- PTR
- 反向DNS名称。输入IP地址后，会自动转换为对应的in-addr.arpa或ip6.arpa名称。
- SRV
- 服务定位记录，例如_sip._tcp.example.com：优先级、权重、端口和目标主机。
- HTTPS
- HTTPS（SVCB）记录会公布连接参考信息，例如HTTP/3支持（alpn=h3）、建议使用的IP和ECH密钥。
- DS / DNSKEY
- DS 和 DNSKEY 用于 DNSSEC。仅凭这些记录的存在，不能证明整个信任链有效。DNSSEC 字段显示解析器是否报告了验证结果；此工具不会自行验证信任链。
观测示例：两个解析器返回不同结果
2026年10月27日21:41:23 UTC+07，我们使用IPNixa通过Cloudflare和Google比较www.amazon.com的A记录。这是第三方公开域名，我们没有修改其DNS设置。
两个解析器均返回NOERROR和相同的CNAME链，但最终A记录不同：Cloudflare返回18.239.130.216（TTL 26秒），Google返回13.35.160.125（TTL 60秒）。IPNixa显示响应值不同。
21:41:27再次查询时A值仍不同，Cloudflare TTL为23秒。原因尚未确定，缓存、CDN路由或地域差异都可能影响结果。修改自己的DNS后，应将准确主机名、记录类型和CNAME链与提供商配置比较，检查TTL并稍后重试。两个解析器不能证明全球传播状态。
针对DNS变更场景，我们于2026年10月27日在本地单独运行比较逻辑：模拟Cloudflare返回旧A值203.0.113.10，Google返回新值203.0.113.20，结果为响应值不同。两个地址均保留供文档使用；我们没有修改真实DNS记录，此模拟也不能解释上述Amazon观测结果。
为什么没有记录？
NOERROR且应答为空，意味着解析器没有为该名称和类型返回任何记录。NXDOMAIN意味着解析器报告该名称不存在。SERVFAIL或REFUSED意味着查询未成功完成；两者都不能证明域名不存在。
这能测试DNS在全球的传播情况吗？
不能。这里呈现的是处理你请求的服务器所获得的两个公共解析器快照，而不是来自每个国家的探测。其他解析器、私有网络、地区或权威服务器可能返回不同的记录。当服务商将别名扁平化为地址记录时，CNAME查询也可能为空。
能看出我是否在用Cloudflare DNS（1.1.1.1）吗？
不能。本页面从我们的服务器向Cloudflare和Google查询，因此看不到你的设备使用哪个DNS解析器。要检查这台设备是否使用1.1.1.1，请打开Cloudflare的检测页面 1.1.1.1/help。
DNSSEC字段是什么意思？
“由解析器验证”指该解析器为此响应设置了已验证数据（AD）标志。“未声明”并不是安全结论：该区域可能未签名，或响应可能不带已验证数据。DNSSEC并不能证明网站值得信任。
这能发现DNS泄露吗？
不能。DNS泄露测试需要观测哪些解析器请求了唯一的测试名称。此记录查询只是向两个选定的公共解析器查询已公布的记录。其他浏览器暴露检测请使用WebRTC和IPv6 VPN检测。
这能告诉我哪个DNS解析器更快吗？
不能。这些是服务器端的DNS-over-HTTPS请求，不会测量你设备的DNS速度。如需了解浏览器到边缘节点的响应时间，请使用HTTP延迟测试。