C’est d’ailleurs la principale raison d’avoir une ZSK et une KSK séparées (non, ça non plus ce n’est pas « imposé » par DNSSEC).
Il y a une autre raison : il est beaucoup plus facile de changer de ZSK que de KSK, cette dernière devant être déclarée au bureau d'enregistrement, ce qui s'automatise assez mal.
[^] # Re: L’automatisation, c’est bon, mangez-en
Posté par 🚲 Tanguy Ortolo (site web personnel) . En réponse au message Let's Encrypt en prod en entreprise. Évalué à 4.
Il y a une autre raison : il est beaucoup plus facile de changer de ZSK que de KSK, cette dernière devant être déclarée au bureau d'enregistrement, ce qui s'automatise assez mal.