Identifique a chave e delegação envolvidas
Determine se a alteração afeta chave de assinatura da zona, chave de assinatura de chave ou registro DS no pai. Confira quem controla cada parte e se registrador ou provedor automatiza a transição.
Confirme dados DS e DNSKEY, validade das assinaturas e TTLs antes de começar. Não improvise sequência genérica se o provedor gerencia a rotação.
Monitore validação durante a transição
Use verificações DNSSEC nos servidores autoritativos e em diversos resolvedores validadores antes e depois de cada fase. Mantenha a chave anterior até a condição segura de remoção ser atendida.
Prepare recuperação e evite mudanças DNS não relacionadas ao mesmo tempo. Se a validação falhar, confira consistência DS/DNSKEY e estado do provedor antes de alterar outros registros.