Jo, a ktera BCP teda rika, ze tohle je "cajk" pocinani? :-) Nikdy tomu tak nebylo. Unik jednoho privatniho klice, co fakticky zabezpecuje tisice domen je vzdy - z logiky veci vetsi prusvih.
A mimochodem primarni jadro diskuze neni o tom, jestli nepodepisovat vubec a nebo podepisovat jen jednim klicem. Diskuze se vede o tom, jestli zbrkle zapinat DNSSEC za cenu vytvareni novych der, kterych si drzitele domen casto nemusi byt vedomi - a soucasne si obcas do DNS pisou i veci, ktere by ve verejne dostupne zone proste a jednoduse byt vubec nemely (smutna realita). Takze znovu, pokud nekdo ma NSEC v modelu ala Cloudflare, neni s tim problem.... ale tak jak se to nasazuje v Cesku to je proste fail. Jiste, je to "jednodussi"... ale v realu spise pyrrhovo vitezstvi - aneb sice to mame hezku podepsane, ale treba nevedomky vystavujeme do celeho sveta veci, ktere jsme nezamysleli. A usnadnujeme tak pohyb utocniku - mj. ze zemi, odkud za normalnich okolnosti by by ten dotaz ani neprisel (tudiz nemohl byt odchycen).
Nabizi se otazka, proc mate potrebu obhajovat prostedi, ktere mj. treba i rusakum usnadnuje jejich zaskodnickou cinnost? ;-) Protoze tak to proste je. No tak se na to vykasleme, muzem teda vsecko krasne podepsat, abysme se mohli placat po ramenou co se cisel tyce, vedle toho nechat povolene AXFR, protoze proc ne...
PS: Kdy ze nam povolite AXFR na gov.cz? ;-)