La zona viene firmata con una chiave e ogni insieme di record riceve un record RRSIG. Un record DS nella zona padre collega la tua chiave alla catena di fiducia che parte dalla zona root.
DNSSEC protegge dal cache poisoning ed è il prerequisito per DANE (record TLSA per i mail server). Non cifra nulla: le query restano leggibili.
Il vero rischio è operativo: firme scadute, o un cambio di provider DNS che lascia il vecchio record DS, fanno sì che i resolver validanti non rispondano più (SERVFAIL). Il dominio sparisce per una buona parte di Internet.
Esempio
dig +dnssec example.com SOA