Jede Zone veröffentlicht Einträge vom Typ DNSKEY – Flag 257 für den Schlüsselsignaturschlüssel (Key Signing Key), 256 für den Zonensignaturschlüssel (Zone Signing Key) – und signiert jedes Record-Set mit Einträgen vom Typ RRSIG, die einen Gültigkeitsbeginn und einen Ablaufzeitpunkt tragen. Die übergeordnete Zone veröffentlicht einen Eintrag vom Typ DS, einen Digest des Schlüsselsignaturschlüssels der untergeordneten Zone (Digest-Typ 2 = SHA-256, 4 = SHA-384); so entsteht eine Kette bis zum Vertrauensanker der Root-Zone. Für die authentifizierte Verneinung (Authenticated Denial) dienen NSEC oder NSEC3, deren Iterationszahl laut RFC 9276 0 sein sollte.
Gängige Algorithmen: 8 (RSA/SHA-256), 13 (ECDSA P-256/SHA-256, heute die übliche Wahl) und 15 (Ed25519). Seit RFC 9904 (2025) steht der Empfehlungsstatus jedes Algorithmus in der IANA-Registry statt in einem RFC.
DNSSEC schützt die Integrität, nicht die Vertraulichkeit (das leisten DoH und DoT), und das nur für Resolver, die validieren. Ausfälle entstehen durch abgelaufene Signaturen, einen DS-Eintrag, der nach einem Schlüsselwechsel (Rollover) nicht mehr passt, und abweichende Uhren; schlägt die Validierung fehl, antworten Resolver mit SERVFAIL. DANE, die CAA-Prüfungen der CAs und SSHFP bauen darauf auf.