DNSSEC aggiunge firme crittografiche al DNS: le risposte della tua zona arrivano firmate (record RRSIG), i resolver le verificano risalendo una catena di fiducia che passa dal record DS presso il registrar e arriva alla root. Risultato: una risposta falsificata – il cache poisoning – viene scartata invece che creduta.
Cosa DNSSEC non fa, per sgombrare equivoci: non cifra nulla (le query restano leggibili – per quello c'è DoH/DoT) e non certifica che il sito sia "buono": garantisce solo che la risposta DNS sia quella autentica.
Operativamente: si abilita dal pannello del provider DNS (due click sui gestori moderni) più il DS al registrar. L'errore tipico è migrare provider dimenticando il DS vecchio: la zona diventa irraggiungibile per i resolver validanti. Motivo in più per tenere i DNS versionati e sotto controllo.