每个区域发布 DNSKEY 记录（密钥签名密钥的标志为 257，区域签名密钥为 256），并用带有生效时间和过期时间的 RRSIG 记录为每个记录集签名。父区域发布 DS 记录，即子区域密钥签名密钥的摘要（摘要类型 2 = SHA-256，4 = SHA-384），从而形成一条直达根信任锚的链。经过认证的否定应答使用 NSEC 或 NSEC3，RFC 9276 规定后者的迭代次数应为 0。
常用算法：8（RSA/SHA-256）、13（ECDSA P-256/SHA-256，目前的常见选择）和 15（Ed25519）。自 RFC 9904（2025年）起，各算法的推荐状态记录在 IANA 注册表中，而不是写在某份 RFC 里。
DNSSEC 保护的是完整性，而不是机密性（机密性由 DoH 和 DoT 提供），而且只对执行验证的解析器有效。故障通常源于签名过期、密钥轮换后不再匹配的 DS 记录以及时钟偏差；验证失败时，解析器返回 SERVFAIL。DANE、CA 执行的 CAA 检查以及 SSHFP 都依赖它。