Полгода мой резолвер не проверял DNSSEC: узнал об этом от чужого теста, а не от мониторинга

dnssec-failed.org отдавался как NOERROR: мой резолвер полгода принимал ответы с битыми подписями и выглядел при этом абсолютно здоровым. Нашёл это не мониторинг, а публичный тест DNS-OARC — пять проверок зелёные, шестая красная. Разбираю, почему отсутствие свойства безопасности не ловится алертами в принципе, как первая попытка включить валидацию уронила…