Chaque zone publie des enregistrements DNSKEY (indicateur 257 pour la clé de signature de clés, 256 pour la clé de signature de zone) et signe chaque ensemble d’enregistrements avec des enregistrements RRSIG qui portent une date de début et une date d’expiration. La zone parente publie un enregistrement DS, condensat de la clé de signature de clés de la zone enfant (type de condensat 2 = SHA-256, 4 = SHA-384), ce qui crée une chaîne jusqu’à l’ancre de confiance de la racine. Le déni d’existence authentifié utilise NSEC ou NSEC3, dont le nombre d’itérations devrait être 0 selon la RFC 9276.
Algorithmes courants : 8 (RSA/SHA-256), 13 (ECDSA P-256/SHA-256, le choix habituel aujourd’hui) et 15 (Ed25519). Depuis la RFC 9904 (2025), le statut de recommandation de chaque algorithme figure dans le registre de l’IANA plutôt que dans une RFC.
DNSSEC protège l’intégrité, pas la confidentialité (c’est le rôle de DoH et de DoT), et seulement pour les résolveurs qui valident. Les pannes viennent de signatures expirées, d’un DS qui ne correspond plus après un remplacement de clé (rollover) et du décalage d’horloge ; lorsque la validation échoue, les résolveurs renvoient SERVFAIL. DANE, les vérifications CAA des AC et SSHFP en dépendent.