Infelizmente, alguns TLDs ainda não suportam DNSSEC até a raiz. No entanto, é possível adicionar uma DNSKEY específica ao meu resolvedor (atualmente usando knot-resolver) para que uma zona assinada possa ser verificada mesmo sem suporte a TLD?
Posso adicionar uma âncora de confiança para um domínio específico?