各ゾーンは DNSKEY レコード（鍵署名鍵はフラグ 257、ゾーン署名鍵は 256）を公開し、署名の開始時刻と有効期限を持つ RRSIG レコードですべてのレコードセットに署名します。親ゾーンは、子ゾーンの鍵署名鍵のダイジェストである DS レコード（ダイジェストタイプ 2 = SHA-256、4 = SHA-384）を公開し、ルートのトラストアンカーまで続くチェーンを形成します。認証された不在証明には NSEC または NSEC3 を使い、RFC 9276 はその反復回数を 0 にすべきだとしています。
よく使われるアルゴリズムは、8（RSA/SHA-256）、13（ECDSA P-256/SHA-256、現在の一般的な選択）、15（Ed25519）です。RFC 9904（2025年）以降、各アルゴリズムの推奨ステータスは、RFC ではなく IANA レジストリで管理されています。
DNSSEC が保護するのは完全性であって機密性ではなく（機密性は DoH と DoT が担います）、その保護も検証を行うリゾルバーに対してだけです。障害の原因は、期限切れの署名、鍵のロールオーバー後に一致しなくなった DS、時刻のずれです。検証に失敗すると、リゾルバーは SERVFAIL を返します。DANE、CA による CAA の確認、SSHFP は DNSSEC に依存しています。