DNSViz（dnsviz.net）の解析結果は、ゾーンや鍵、レコードを図形と矢印でつないだグラフとして表示されます。読み方の要点は、色で「信頼の連鎖がつながっているか」を、矢印で「どの鍵が何を保証しているか」を見ることです。この記事では、グラフの図形・矢印・色の意味と、エラーや警告のうちどれを先に直すべきかを、DNSSEC を有効にしたドメインの運用者向けに整理します。
グラフ全体の構造
DNSViz のグラフは、上から下へ「ルートゾーン → TLD（.com や .jp）→ あなたのゾーン」と並びます。各ゾーンは枠（クラスター）で囲まれ、枠の見出しにゾーン名と、解析した日時が表示されます。日時は重要で、表示されているのはその時点の状態です。設定を直した後に古い結果を見て「まだ直っていない」と判断しないよう、再解析してから読み始めます。
DNSSEC の考え方を一言でいえば、親ゾーンが子ゾーンの鍵を「この鍵は本物」と保証し、子ゾーンの鍵がレコードの署名を保証する、という連鎖です。グラフはこの連鎖をそのまま絵にしたもので、一番上のルートの鍵から目的のレコードまで、途切れずにたどれるかを見るための図です。
図形の意味
DNSViz の公式の凡例（ドキュメントの DNSSEC の説明ページ）に沿って、主な図形を説明します（2026年10月現在）。表示は更新で変わることがあるので、画面上の凡例も合わせて確認してください。
- 楕円：DNSKEY（鍵）。ゾーンの枠の中に置かれます。灰色で塗られた楕円は SEP ビットが立った鍵で、多くの場合は鍵署名鍵（KSK）です。白い楕円はゾーン署名鍵（ZSK）であることが多い鍵です。
- 二重の枠の楕円：トラストアンカー。検証の起点として信頼する鍵で、既定ではルートゾーンの KSK だけがこれにあたります。
- 点線で灰色の枠の楕円。署名や DS から参照されているのに、実際には公開されていない鍵です。
- DS。親ゾーン側に登録された、子ゾーンの鍵の要約（ハッシュ値）です。親ゾーンの枠の中に描かれ、子ゾーンの鍵へ矢印が伸びます。
- 角の丸い長方形：レコードの集まり（RRset）。A、MX、TXT など、解析対象の名前と種別のレコードです。
- 点線で薄い枠の図形：存在しないことを示す応答。名前自体が無い（NXDOMAIN）場合と、名前はあるがその種別が無い（NODATA）場合で形が異なります。
- 区切りのある長方形：NSEC / NSEC3。「この範囲には名前が無い」ことを署名付きで証明するレコードです。
矢印の意味
矢印は「何が何を保証しているか」を表します。
- DS から DNSKEY への矢印：親ゾーンの DS が、子ゾーンの鍵と一致していることを示します。
- DNSKEY から RRset への矢印：その鍵がレコードに署名していることを示します。
- DNSKEY から自分自身への輪：鍵の一覧（DNSKEY の集まり）に、その鍵自身が署名していることを示します。KSK から ZSK へ伸びる矢印は、KSK が鍵の一覧に署名し、ZSK を保証していることを表します。
- ゾーンとゾーンの間の太い線：親から子への委任です。
色の意味
色はノードや矢印の状態を表します。ここが一番読み違えやすい部分です。
- 青：secure（安全）。ルートの鍵から途切れずに連鎖がつながっている状態です。DNSSEC を有効にしたドメインなら、目的のレコードまで青でつながっていれば正常です。
- 黒：insecure（未署名）。連鎖が無いことが、署名付きで証明されている状態です。DNSSEC を使っていないドメインはこうなり、それ自体はエラーではありません。
- 赤：bogus（不正）。連鎖が壊れている状態です。検証を行うキャッシュサーバーは、この名前に SERVFAIL を返します。利用者の一部から見てサイトやメールが止まる、最も深刻な状態です。
矢印の色には、さらに細かい意味があります。DS から DNSKEY への矢印が赤い実線ならハッシュ値の不一致、灰色の点線なら一致する鍵が見つからない状態です。署名の矢印が紫なら、署名の有効期間の外（期限切れ、または開始前）です。黄色は、DNSViz が知らない、または対応していないアルゴリズムが使われていることを示します。
委任を表す太い線にも色があり、黄色の点線は委任先のサーバーが応答しない、または答えを持っていない（lame）状態や、委任の情報が欠けている状態を表します。
エラーと警告の読み方
グラフ上のノードや矢印に付くアイコンは、エラーか警告かで種類が分かれています。アイコンにマウスを重ねるか、グラフの横に並ぶ一覧を開くと、英語の説明文が読めます。エラーは警告より重い問題です。直す順番は次のとおりです。
- 赤（bogus）のノードや矢印に付いたエラー。名前解決が止まっている可能性が高いので最優先です。よくある原因は、DNS 事業者を移転した後に親ゾーンの DS を更新していない、鍵を入れ替えたのに古い DS だけが登録されている、署名の更新が止まって期限が切れた、の3つです。
- 委任やサーバーの応答に関するエラー。一部のネームサーバーが応答しない、TCP で応答しない、親と子で NS の一覧が違う、といった指摘です。今は答えが返っていても、障害時に冗長性が働かない状態です。
- 警告。推奨されない設定の指摘が中心です。たとえば NSEC3 の反復回数やソルトについては、RFC 9276 で反復回数 0・ソルトなしが推奨されているため、古い設定のままだと警告になることがあります。ただちに名前解決が止まるものではありませんが、DNS 事業者の設定で変えられるなら合わせておきます。
斜体の見出しの付いたアイコンは、グラフのどこにも描かれていない応答（時間切れや不正な形式の応答など）についての指摘です。見落としやすいので、一覧も確認します。
読むときに気を付けたいこと
解析した場所から見た結果である
DNSViz は、DNSViz のサーバーから各ネームサーバーに問い合わせた結果を描いています。「IPv6 で応答しない」「特定のサーバーが時間切れ」といった指摘は、DNSViz 側のネットワークの一時的な状態で出ることもあります。気になる指摘は、時間をおいて再解析し、手元から drill や dig で同じサーバーに問い合わせて確かめます。
黒は異常ではない
DNSSEC を導入していないドメインでは、自分のゾーンが黒で表示されます。ここを「エラー」と誤解して慌てる必要はありません。導入済みのはずなのに黒で表示されるなら、親ゾーンに DS が登録されていない（DNSSEC の有効化が途中で止まっている）可能性があります。
赤を見つけたら、直す前に控える
DS の削除や鍵の差し替えは、手順を誤ると名前解決を止めます。作業前に現在の DS と DNSKEY の値を控え、DNS 事業者とレジストラのどちらで何を変えるのかを整理してから進めます。急いで名前解決を戻したい場合、DS を親ゾーンから外して未署名（黒）に戻すのが一般的な応急処置ですが、親ゾーンでの DS の TTL の分だけ反映に時間がかかります。
コマンドライン版との関係
DNSViz にはコマンドライン版もあり、dnsviz probe で問い合わせ結果を JSON に保存し、dnsviz graph で同じ形式のグラフを画像として書き出せます。Web 版と同じ考え方で読めるため、社内向けの名前や、解析結果を残しておきたい作業の前後の比較に使えます。
dnsviz probe example.com > example.json
dnsviz graph -r example.json -T png -o example.pngまとめ
- グラフは上から「ルート → TLD → 自分のゾーン」の順で、楕円が鍵、角の丸い長方形がレコード、矢印が保証の関係を表します。
- 色は青が安全、黒が未署名（DNSSEC 未導入なら正常）、赤が連鎖の破綻です。赤は SERVFAIL につながるため最優先で対処します。
- 矢印の赤や灰色の点線は DS と鍵の不一致、紫は署名の期限切れを示します。
- 直す順番は、赤のエラー、委任やサーバー応答のエラー、警告の順です。
- 結果は解析時点・解析した場所から見たものです。再解析と手元のコマンドで裏を取ってから作業します。