DNSSEC - принцип работы

DNSSEC использует 2 типа ключей:

ZSK (Zone Signing Key) — ключ для подписи ресурсных записей зоны;
KSK (Key Signing Key) — ключ для подписи ключей.
Рекомендуем длину KSK-ключа и период его обновления выбирать больше, чем для ZSK-ключа