Каждая зона публикует записи DNSKEY (флаг 257 — ключ подписи ключей, 256 — ключ подписи зоны) и подписывает каждый набор записей: подписи хранятся в записях RRSIG, где указаны время начала и время истечения срока действия. Родительская зона публикует запись DS — дайджест ключа подписи ключей дочерней зоны (тип дайджеста 2 = SHA-256, 4 = SHA-384), и так образуется цепочка до якоря доверия корневой зоны. Аутентифицированное отрицание существования обеспечивают NSEC или NSEC3; у второго варианта, согласно RFC 9276, число итераций следует устанавливать равным 0.
Распространённые алгоритмы: 8 (RSA/SHA-256), 13 (ECDSA P-256/SHA-256, сегодня это обычный выбор) и 15 (Ed25519). После выхода RFC 9904 (2025) рекомендации по каждому алгоритму публикуются в реестре IANA, а не в RFC.
DNSSEC защищает целостность, а не конфиденциальность (её обеспечивают DoH и DoT), и только для резолверов, которые выполняют проверку. Причины сбоев — просроченные подписи, запись DS, которая перестала совпадать после смены ключа, и расхождение часов; если проверка не проходит, резолверы возвращают SERVFAIL. На DNSSEC опираются DANE, проверки CAA на стороне CA и SSHFP.