DNSSEC
Assinaturas criptográficas em respostas DNS — provam que a resposta veio da fonte certa e não foi adulterada.
Proteção contra DNS spoofing e cache poisoning. Hierárquico: a raiz assina os TLDs, que assinam os domínios. Não é universalmente adotado; a zona .se está incomumente adiantada. DoH/DoT protege o transporte — DNSSEC protege o conteúdo.