RFC 5011 è lo standard Internet che consente a un resolver DNS con validazione di apprendere e sostituire automaticamente gli anchor di fiducia DNSSEC, in particolare l'anchor di fiducia della root. Un anchor di fiducia è la chiave pubblica iniziale che un resolver usa per verificare la catena di fiducia DNSSEC. Senza un anchor aggiornato, la convalida DNSSEC può fallire anche quando i dati DNS sono altrimenti corretti.
Questo è importante perché DNSSEC dipende da una fiducia operativa di lunga durata, non solo dalla crittografia. Negli ambienti dei difensori, RFC 5011 riduce la gestione manuale delle chiavi e aiuta i resolver a sopravvivere ai rollover pianificati della chiave root. Nei sistemi reali, i resolver conformi possono aggiungere una nuova chiave dopo un periodo di osservazione sicuro e ritirare una vecchia chiave quando lo standard lo consente. Gli aggressori in genere non prendono di mira direttamente RFC 5011, ma resolver obsoleti o non conformi possono diventare fragili: possono smettere di validare, creare interruzioni o costringere gli amministratori a bypassare i controlli di sicurezza. Per questo motivo, i team dovrebbero verificare quali resolver supportano RFC 5011, se la funzionalità è abilitata e se immagini, appliance e componenti DNS incorporati aggiornano correttamente gli anchor di fiducia.