Entenda a cadeia de assinatura
A validação depende de uma cadeia entre o DS da zona pai, o DNSKEY da zona filha e os registros assinados. Registrador, provedor DNS e intermediários precisam publicar informações correspondentes.
Ao trocar de provedor, girar chaves ou transferir o domínio, confirme quem gerencia a assinatura e a atualização do DS. Um DS antigo junto a outra chave na zona filha pode fazer resolvedores validadores falharem.
Ative e mantenha com cuidado
Confira se o provedor DNS oferece DNSSEC e documenta a rotação de chaves e atualizações no registrador. Siga a sequência do provedor, pois controles e prazos variam.
Após ativar, use ferramentas de validação e consulte vários resolvedores; repita após mudanças. Tenha um plano para corrigir rapidamente um DS desatualizado e não remova assinaturas sem verificar a cadeia ativa.