DNSKEY è un tipo di record DNS usato da DNSSEC per pubblicare le chiavi pubbliche che una zona utilizza per la verifica delle firme. I resolver e i server DNS di validazione leggono i record DNSKEY per controllare se le risposte DNS sono state firmate con la chiave corretta della zona e per costruire la catena di fiducia dalle zone padre a quelle figlio.
Nella pratica, DNSKEY è importante perché si trova in un percorso di parsing critico per la sicurezza. Un validatore deve accettare dati DNSKEY da domini esterni, canonicalizzarli, confrontarli con i record correlati e verificare le firme. Questo lo rende un bersaglio per bug: input malformati relativi a DNSKEY possono causare errori del parser, corruzione della memoria o fallimenti della validazione. I difensori si affidano a una corretta gestione di DNSKEY per bloccare risposte DNS contraffatte, mentre gli attaccanti possono cercare di sfruttare implementazioni deboli fornendo dati firmati ostili ai resolver ricorsivi.