Un resolver con validazione è un resolver DNS che verifica le firme DNSSEC per confermare che le risposte DNS siano autentiche e non siano state alterate. Prima di restituire una risposta, segue la catena di fiducia DNSSEC a partire da un'ancora di fiducia configurata, in genere quella della radice.
Questo aiuta a difendersi dalle risposte DNS contraffatte o manomesse, ma la validazione dipende dalla disponibilità di dati aggiornati sull'ancora di fiducia del resolver. Durante una sostituzione pianificata delle chiavi, un resolver che non riceve la chiave sostitutiva potrebbe rifiutare risposte valide, causando errori nelle ricerche o malfunzionamenti delle applicazioni. Gli amministratori dovrebbero individuare quali resolver eseguono la validazione, mantenere abilitate le operazioni di aggiornamento delle ancore di fiducia e monitorare i log DNS per rilevare errori di validazione.