Roll-over voor root zone vraagt om attentie van DNSSEC -beheerders
Voor de beheerders van validerende resolvers is het dus nog even wachten op de daadwerkelijke publicatie van de nieuwe (publieke) sleutel. Vanaf dat moment kunnen zij die sleutel opnemen als trust anchor in de eigen systemen. Dat moet uiterlijk 11 oktober 2017 voor elkaar zijn, wanneer het oude sleutelpaar niet langer gebruikt wordt om te ondertekenen. Wordt dit nagelaten, dan kunnen de digitale handtekeningen onder de top-level domeinen (TLD's) in de root zone niet meer gevalideerd worden. In dat geval zouden alle internet-domeinen voor de gebruikers van de betreffende resolver onbereikbaar worden.
Daartoe wordt eerst de nieuwe (publieke) sleutel in de vorm van een DNSKEY record opgehaald van een authoritatieve server voor de root zone. Omdat dit record is voorzien van een digitale handtekening gebaseerd op het oude, al vertrouwde sleutelpaar, kan de authenticiteit ervan gewoon met behulp van de bestaande DNSSEC-functionaliteit gevalideerd worden. Door het zetten van een nieuw vlaggetje in het DNSKEY-record — het SEP-bit (Secure Entry Point) — weet de resolver dat deze sleutel aan de trust anchors toegevoegd kan worden.
Ook voor validerende resolvers waarvoor is aangegeven dat de software RFC 5011 wel ondersteunt lijkt het ons niet raadzaam om daar zomaar op te vertrouwen. Gezien de risico's voor eindgebruikers en omdat dit de eerste keer is, raden wij de beheerders van deze servers aan de (automatische) installatie van de nieuwe (publieke) sleutel als trust anchor nauwlettend te volgen en te controleren. Dit kan vanaf 11 juli, wanneer de nieuwe sleutel in de vorm van een DNSKEY-record in de root zone wordt gepubliceerd.