<div dir="ltr">Hi Joe, all,<br><br>To contribute another data point to the survey, both our open-source projects, Namingo Registry and Namingo Registrar, support DNSSEC algorithms 17 (SM2/SM3) and 18 (ML-DSA-44), as well as DS digest type 6 (SM3), for DNSSEC delegation management via EPP.<br><br>While this does not reflect the policies of individual TLDs, I thought it would be useful to share that support is already available on both the registry and registrar software sides.<br><br>Both projects are available at <a href="https://namingo.org">https://namingo.org</a>.<br><br>Best regards,<br>Iliya Bazlyankov</div><br><div class="gmail_quote gmail_quote_container"><div dir="ltr" class="gmail_attr">On Wed, Oct 14, 2026 at 11:00 AM Joe Abley via dns-operations <<a href="mailto:dns-operations@dns-oarc.net">dns-operations@dns-oarc.net</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><br><br><br>---------- Forwarded message ----------<br>From: Joe Abley <<a href="mailto:jabley@strandkip.nl" target="_blank">jabley@strandkip.nl</a>><br>To: Joe Abley via dns-operations <<a href="mailto:dns-operations@dns-oarc.net" target="_blank">dns-operations@dns-oarc.net</a>><br>Cc: <br>Bcc: <br>Date: Wed, 14 Oct 2026 09:48:59 +0200<br>Subject: Question about DNSSEC algorithm support in domain registries, registrars<br>Hi all,<br>
<br>
I am trying to build a picture of DNSSEC algorithm support in domain registries. This is motivated by some recent work at Cloudflare with the newly-minted, post-quantum algorithm 18, ML-DSA-44. [1]<br>
<br>
The particular corner of the picture I'm interested in is the EPP part -- the part where a domain registrant arranges for their registrar to send information about their KSK to the relevant TLD registry, so that it can be used to secure the delegation from the TLD zone to the child zone with a DS RRSet.<br>
<br>
There are quite a number of TLDs I have found that constrain the values allowed in the Algorithm field [2] according to some interpretation of what is "standard" or "recommended". It feels like there is some ambiguity around this, which seems like an opportunity to propose some clarity. The first step is understanding the current situation.<br>
<br>
Algorithm 18 (the motivation to look) appears in the IANA registry as MAY be used for signing [3] but I have not yet found a registrar-registry combination that will allow a registrant to use it. I have also not found a good description of what is allowed for most TLDs, so it's very possible that a combination exists and I just haven't found it.<br>
<br>
An example of policy implemented by a TLD can be found in Nominet's published resources for registrars [4] which confirms that the supported algorithms for domains registered in the UK registry are 3, 5, 6, 7, 8, 10, 12, 13, 14, 15, and 16. (It's great that this information is so clear and easy to find! Thank you, Nominet.)<br>
<br>
If you are a TLD (g or cc or any other flavour) registrar or a registry operator and you know what your policy is for your TLDs, could you drop me a note and let me know? Off-list is fine, and I can summarise if there is interest in the results. If you have a link to a public reference that would be outstanding.<br>
<br>
If you are on other mailing lists where TLD registry operators are known to lurk, please feel free to forward! That would be great.<br>
<br>
<br>
Joe<br>
<br>
[1] <a href="https://datatracker.ietf.org/doc/draft-westerbaan-dnssec-mldsa/" rel="noreferrer" target="_blank">https://datatracker.ietf.org/doc/draft-westerbaan-dnssec-mldsa/</a><br>
[2] <a href="https://www.rfc-editor.org/info/rfc4034/#section-5" rel="noreferrer" target="_blank">https://www.rfc-editor.org/info/rfc4034/#section-5</a><br>
[3] <a href="https://www.iana.org/assignments/dns-sec-alg-numbers#dns-sec-alg-numbers-1" rel="noreferrer" target="_blank">https://www.iana.org/assignments/dns-sec-alg-numbers#dns-sec-alg-numbers-1</a><br>
[4] <a href="https://registrars.nominet.uk/gtlds/gtld-registrar-systems/dnssec/" rel="noreferrer" target="_blank">https://registrars.nominet.uk/gtlds/gtld-registrar-systems/dnssec/</a><br>
<br><br><br>---------- Forwarded message ----------<br>From: Joe Abley via dns-operations <<a href="mailto:dns-operations@dns-oarc.net" target="_blank">dns-operations@dns-oarc.net</a>><br>To: Joe Abley via dns-operations <<a href="mailto:dns-operations@dns-oarc.net" target="_blank">dns-operations@dns-oarc.net</a>><br>Cc: <br>Bcc: <br>Date: Wed, 14 Oct 2026 09:48:59 +0200<br>Subject: [dns-operations] Question about DNSSEC algorithm support in domain registries, registrars<br>_______________________________________________<br>
dns-operations mailing list<br>
<a href="mailto:dns-operations@lists.dns-oarc.net" target="_blank">dns-operations@lists.dns-oarc.net</a><br>
<a href="https://lists.dns-oarc.net/mailman/listinfo/dns-operations" rel="noreferrer" target="_blank">https://lists.dns-oarc.net/mailman/listinfo/dns-operations</a><br>
</blockquote></div>