DNSSEC.

DNSSEC(Domain Name System Security Extensions)は DNS レコードに暗号署名を付与し、応答が正規のゾーンから来たものであり、経路上で改ざんされていないことをリゾルバが検証できるようにする仕組みです。各ゾーンは秘密鍵でレコードに署名し、対応する公開鍵を DNSKEY レコードで公開します。さらに、各委任点に置かれる DS レコードを通じて、ルートゾーンから連なる信頼の連鎖が構築されます。検証機能を持つリゾルバは署名不正または欠落の応答を拒否するため、DNS キャッシュポイズニングや経路上のなりすましを無効化できます。DNSSEC は機密性は提供しないため、外部からの問い合わせ内容の秘匿には DoH や DoT との併用が必要です。