To se, podobně jako u certifikačních autorit, řeší tak, že máte ty klíče dva: Key-Signing Key a Zone-Signing Key. Pokud vám někdo klíč ukradne, velmi pravděpodobně to bude ZSK, který musí být na strojích podepisujících zóny online. Tím ale nejde podepsat výměna klíče. KSK je naproti tomu někde ukrytý a používá se jen offline k podpisu ZSK a nového KSK.