DNSSEC 通过向现有 DNS 记录添加加密签名，确保域名系统的安全性。这些数字签名与 A、AAAA、MX、CNAME 等常见记录类型一起存储在 DNS 名称服务器中。通过提供身份验证，这种协议在 DNS 之上增加了一个信任层。在某个 DNS 解析器查找 www.zhanzhangb.com 时，.com 域名服务器帮助解析器验证针对 zhanzhangb 返回的记录，而 zhanzhangb 帮助验证针对 www 返回的记录。根 DNS 服务器帮助验证 .com，而根服务器发布的信息将通过彻底的安全程序（包括“根签名仪式”）进行审核。通俗来讲，经过层层验证，让域名在解析过程中不受到其它干扰，确保客户端最终得到的是正确的解析结果。除非域名根服务器被攻破，否则解析结果无法被伪造。