Aanbevolen voor DNSSEC is dat iedere zone twee sleutels heeft - 1 voor het ondertekenen van de records (de zone sleutel), en de andere om de zone sleutel te ondertekenen. U kunt echter deze optie wijzigen zodat het standaard aantal sleutels nog maar 1 is voor nieuwe zones, indien dit bruikbaarder is voor uw systeem. Dit vermijdt het overmatig her-genereren en opnieuw ondertekenen van de zone sleutel.