Die Zone wird mit einem Schlüssel signiert, zu jedem Eintragssatz gehört ein RRSIG-Eintrag. Ein DS-Eintrag in der übergeordneten Zone verknüpft Ihren Schlüssel mit der Vertrauenskette, die bei der Root-Zone beginnt.
DNSSEC schützt vor Cache-Poisoning und ist Voraussetzung für DANE (TLSA-Einträge für Mailserver). Es verschlüsselt nichts; die Abfragen bleiben lesbar.
Das größte Risiko liegt im Betrieb: Abgelaufene Signaturen oder ein Anbieterwechsel, bei dem der alte DS-Eintrag stehen bleibt, führen dazu, dass validierende Resolver gar keine Antwort mehr liefern (SERVFAIL). Die Domain ist dann für einen großen Teil des Internets nicht erreichbar.
Beispiel
dig +dnssec example.com SOA