Betroffene Schlüssel und Delegation bestimmen
Klären Sie, ob Zonen-Signaturschlüssel, Schlüssel-Signaturschlüssel oder der DS-Eintrag beim Parent betroffen ist. Prüfen Sie Zuständigkeiten und Automatisierung durch Registrar oder DNS-Anbieter.
Bestätigen Sie DS- und DNSKEY-Daten, Signaturgültigkeit und TTLs vor Beginn. Improvisieren Sie keine generische manuelle Reihenfolge, wenn der Anbieter einen verwalteten Wechsel nutzt.
Validierung während des Übergangs überwachen
Prüfen Sie DNSSEC bei autoritativen Servern und mehreren validierenden Resolvern vor und nach jeder Phase. Behalten Sie den alten Schlüssel bis zur sicheren Freigabebedingung des Anbieters.
Bereiten Sie Wiederherstellung vor und vermeiden Sie gleichzeitige unabhängige DNS-Änderungen. Prüfen Sie bei Validierungsfehlern DS/DNSKEY-Konsistenz und Anbieterstatus, bevor Sie weitere Einträge ändern.