Der DNS-Server unterzeichnet mit einem nur ihm bekannten privaten Schlüssel. Die verwendeten Schlüssel haben eine bestimmte Gültigkeitsdauer und sind mit einem Start- und Enddatum versehen.
Die gesendeten Daten (auch Resource Records genannt) können mehrfach mit mehreren privaten Schlüsseln unterschrieben sein, etwa damit ein ablaufender Schlüssel rechtzeitig ersetzt werden kann. Ein Client fragt an und prüft die Signaturen mithilfe des allgemein bekannten öffentlichen Schlüssels. Ist eine Überprüfung erfolgreich, sind Manipulationen ausgeschlossen und die Informationen stammen tatsächlich von der angefragten Quelle.