Cada zona publica registros DNSKEY (indicador 257 para la clave de firma de claves, 256 para la clave de firma de zona) y firma cada conjunto de registros con registros RRSIG que llevan una hora de inicio y una hora de caducidad. La zona padre publica un registro DS, un resumen de la clave de firma de claves de la zona hija (tipo de resumen 2 = SHA-256, 4 = SHA-384), con lo que se forma una cadena hasta el ancla de confianza de la raíz. La denegación autenticada usa NSEC o NSEC3, cuyo número de iteraciones debería ser 0 según el RFC 9276.
Algoritmos habituales: 8 (RSA/SHA-256), 13 (ECDSA P-256/SHA-256, la opción habitual hoy) y 15 (Ed25519). Desde el RFC 9904 (2025), el estado de recomendación de cada algoritmo figura en el registro de la IANA y no en un RFC.
DNSSEC protege la integridad, no la confidencialidad (de eso se encargan DoH y DoT), y solo para los resolvedores que validan. Las caídas se deben a firmas caducadas, a un DS que ya no coincide tras una rotación de claves (rollover) y al desfase del reloj; cuando la validación falla, los resolvedores devuelven SERVFAIL. DANE, las comprobaciones de CAA que hacen las CA y SSHFP dependen de él.