4.3. Allgemeine Anforderungen

Rekursive Resolver MÜSSEN SVCB-Einträge mit nicht erkannten SvcParamKeys übertragen können. Resolver KÖNNEN dies erreichen, indem sie den gesamten SvcParams-Teil des Eintrags als undurchsichtig behandeln, selbst wenn der Inhalt ungültig ist. Wenn auf einen erkannten SvcParamKey ein Wert folgt, der gemäß der Spezifikation des SvcParam ungültig ist, KANN ein rekursiver Resolver einen Fehler wie SERVFAIL melden, statt den Eintrag zurückzugeben. Bei komplexen Werttypen, deren Interpretation sich zwischen Implementierungen unterscheiden kann oder für die künftig zusätzliche erlaubte Werte hinzukommen können (z. B. URIs oder "alpn"), SOLLTEN Resolver die Validierung auf die angegebenen Einschränkungen begrenzen.

Beim Beantworten einer Abfrage, die das DNSSEC OK-Bit [RFC3225] enthält, MÜSSEN DNSSEC-fähige rekursive und autoritative DNS-Server jedes RRset im Additional-Abschnitt mit denselben DNSSEC-bezogenen Einträgen begleiten, die sie senden würden, wenn sie dieses RRset als Answer bereitstellen (z. B. RRSIG, NSEC, NSEC3).

Gemäß Abschnitt 5.4.1 von [RFC2181] sollten "nicht authentifizierte RRs, die aus ... dem Additional-Data-Abschnitt ... empfangen und zwischengespeichert wurden", nicht so zwischengespeichert werden, dass sie jemals als Antworten auf eine empfangene Abfrage zurückgegeben würden. Sie können gegebenenfalls als zusätzliche Informationen zurückgegeben werden. Rekursive Resolver KÖNNEN daher Einträge aus dem Additional-Abschnitt zwischenspeichern, um damit Antworten im Additional-Abschnitt zu befüllen, und KÖNNEN sie allgemein zwischenspeichern, wenn sie durch DNSSEC authentifiziert sind.