O que é DNSSEC?
Entenda a autenticação de respostas DNS, sua cadeia de confiança e seus limites.
O DNSSEC adiciona assinaturas digitais aos dados DNS para que um resolvedor validador confira se a resposta é autêntica e não foi alterada no caminho. Quando implantado corretamente, protege a integridade das respostas DNS. Ele não criptografa consultas, não oculta a navegação e não substitui o HTTPS de um site.
Como funciona a validação
Uma zona assinada publica assinaturas e dados DNSKEY. Uma cadeia de confiança liga a zona pai à filha, normalmente por um registro DS na zona pai. O resolvedor validador confere essa cadeia antes de aceitar uma resposta assinada. Se as assinaturas ou ligações estiverem erradas, a validação pode falhar mesmo que o valor A ou MX subjacente pareça plausível.
Por isso, registrador e provedor DNS são importantes durante a configuração: o provedor assina a zona, e as informações DS no lado da zona pai devem corresponder. Um DS antigo após a troca de provedor pode fazer o domínio parecer inacessível para resolvedores validadores.
O que o DNSSEC não resolve
O DNSSEC autentica dados DNS; não prova que o servidor indicado seja seguro nem que seu conteúdo seja verdadeiro. Também não protege a conta do registrador. Certificados HTTPS e criptografia de transporte tratam de problemas diferentes. DNS over HTTPS pode criptografar a conexão até um resolvedor, mas isso sozinho não valida a cadeia DNS assinada.
Um domínio sem assinatura não está necessariamente comprometido. A decisão de ativar DNSSEC depende do suporte dos provedores e da capacidade de manter chaves e delegação corretamente.
Verificações práticas
Ao ativá-lo, siga as instruções do provedor DNS, publique o DS correspondente no registrador e teste a validação antes de desativar o provedor antigo. Após qualquer troca de servidor ou chave, confira se DS e DNSKEY continuam alinhados. Use /whois para o contexto DNS visível, mas use um resolvedor validador ou ferramenta de diagnóstico dedicada para confirmar a cadeia de confiança. O guia de registros DNS contextualiza os tipos relacionados.
Fontes
Consulte no WhoisFind
Veja os dados disponíveis de um domínio e interprete cada resultado em seu contexto.
Abrir a ferramenta