Caixa de ferramentas DNS

Porque usar ferramentas DNS?

O DNS é o primeiro passo de qualquer ligação à Internet. Um problema DNS = site inacessível, emails não entregues, certificados SSL impossíveis de validar. Sem visibilidade sobre a sua configuração DNS, trabalha às cegas.

Quatro situações em que estas ferramentas são indispensáveis:

• Migração de servidor → Verificar se o novo A/AAAA está propagado antes de desligar o antigo
• Problema de email → Confirmar que MX, SPF, DKIM e DMARC estão corretamente publicados
• Site inacessível → Diagnosticar se o problema vem do DNS, do servidor ou da rede
• DNSSEC quebrado → Verificar a cadeia de confiança, detetar DS órfãos ou assinaturas expiradas

Como diagnosticar um problema DNS em 3 passos

Passo 1: Executar uma pesquisa DNS

Aceda ao DNS Lookup, introduza o seu domínio e selecione o tipo de registo:

• A: endereço IPv4 do servidor
• AAAA: endereço IPv6
• MX: servidores de email
• TXT: SPF, DKIM, DMARC, verificações
• NS: nameservers autoritativos

Compare as respostas do Google DNS, Cloudflare, Quad9 e do servidor autoritativo.

Passo 2: Auditar a saúde DNS

Use a Auditoria DNS para uma análise completa:

• Consistência parent/zona
• Delegação e glue records
• Acessibilidade IPv4 e IPv6
• Suporte TCP (obrigatório para respostas volumosas)
• Sincronização SOA entre servidores

Passo 3: Acompanhar a propagação

Após uma alteração, o Teste de propagação compara as respostas de dezenas de resolvers públicos. Vê instantaneamente quem tem o novo valor e quem ainda mantém o antigo.

O que é DNS?

O DNS (Domain Name System) traduz nomes de domínio em endereços IP. Quando introduz captaindns.com, o seu navegador consulta um resolver DNS que segue a cadeia:

1. Servidores root → Indicam onde encontrar o TLD (.com)
2. Servidores TLD → Indicam os NS do domínio
3. Servidores autoritativos → Fornecem a resposta final

Exemplo de resolução:

Consulta: captaindns.com A
→ Root: "O .com é gerido por a.gtld-servers.net"
→ TLD: "captaindns.com está delegado para ns1.provider.com"
→ Autoritativo: "A = 203.0.113.50, TTL 3600"

Tipos de registos DNS analisados

DNSSEC: proteger a cadeia de resolução DNS

O DNSSEC (Domain Name System Security Extensions) adiciona uma camada de assinaturas criptográficas ao DNS. Sem DNSSEC, um atacante pode intercetar e modificar as respostas DNS (DNS spoofing, cache poisoning) para redirecionar o tráfego para um servidor malicioso.

Como funciona o DNSSEC:

1. Cada zona DNS assina os seus registos com uma chave privada
2. A chave pública é publicada no DNS (registo DNSKEY)
3. O parent publica um registo DS (Delegation Signer) que vincula a chave da zona filha
4. O resolver verifica cada assinatura subindo até à root

O que o DNSSEC Checker verifica:

O DNSSEC é indispensável para DANE/TLSA (segurança SMTP) e está a tornar-se pré-requisito para cada vez mais serviços. O Microsoft 365 já se apoia no DNSSEC para suportar o DANE em SMTP, em saída desde 2022 e em entrada desde 2024 (configuração manual necessária).

RDAP: dados de registo de domínios

O RDAP (Registration Data Access Protocol) substitui o WHOIS para consultar os dados de registo de um domínio. Desde 28 de janeiro de 2025, a ICANN já não exige WHOIS para gTLDs. 374 TLDs já desativaram o seu serviço WHOIS.

O que um RDAP Lookup revela:

• Registrar: quem gere o domínio (nome, identificador IANA, contacto de abuso)
• Datas: criação, expiração, última modificação, idade do domínio
• Códigos EPP: bloqueios ativos (transferProhibited, deleteProhibited), suspensões, status transitórios
• DNSSEC: o domínio está assinado com DNSSEC no nível do registrar?
• Contactos: titular, administrativo, técnico (se não mascarados pelo RGPD)

Porque isso importa:

• Um domínio sem clientTransferProhibited é vulnerável a roubo (domain hijacking)
• Um domínio em pendingDelete será eliminado em 30 dias
• Um domínio criado há menos de 30 dias é potencialmente suspeito (phishing)
• A ausência de DNSSEC expõe o domínio ao DNS spoofing

A ferramenta deteta automaticamente o protocolo (RDAP ou WHOIS) e normaliza os resultados no mesmo formato, independentemente do TLD.

Casos de uso concretos

Incidente 1: Site inacessível após migração

Sintoma: O site funciona para alguns utilizadores, não para outros.

Diagnóstico:

• Execute um DNS Lookup no registo A
• Compare as respostas: Google tem o novo IP, alguns ISPs ainda têm o antigo

Ação: Aguardar a expiração do TTL ou reduzir o TTL antes da próxima migração.

Incidente 2: Emails rejeitados após mudança de fornecedor

Sintoma: Os emails de saída são rejeitados com "SPF fail".

Diagnóstico:

• Verifique o TXT com DNS Lookup
• O antigo include ainda está presente, o novo está a faltar

Ação: Corrigir o registo SPF, aguardar a propagação, testar novamente.

Incidente 3: Certificado SSL impossível de gerar

Sintoma: Let's Encrypt falha com "DNS problem".

Diagnóstico:

• Execute a auditoria DNS do domínio
• Um NS está em lame delegation (não responde como autoritativo)

Ação: Corrigir a delegação no registrar, aguardar a propagação.

FAQ - Perguntas frequentes

P: Como funciona a pesquisa DNS?

R: A ferramenta consulta o resolver selecionado (Google, Cloudflare ou o servidor autoritativo) e exibe a resposta bruta com TTL, secções answer/authority/additional e latência. Pode ativar o trace iterativo para ver cada etapa da resolução.

P: O que é propagação DNS?

R: "Propagação" refere-se ao tempo necessário para que os caches dos resolvers expirem e busquem o novo valor. Depende do TTL: um TTL de 3600 significa que alguns resolvers podem manter o valor antigo por até 1 hora após a sua alteração.

P: Porque é que os resultados diferem entre resolvers?

R: Cada resolver tem o seu próprio cache. Se um resolver consultou a sua zona antes da sua alteração, ele mantém a resposta em cache até que o TTL expire. Por isso as alterações não são instantâneas em todos os lugares.

P: O que a auditoria DNS verifica?

R: A auditoria verifica a consistência entre parent (registry) e zona, confirma que cada NS responde como autoritativo, testa IPv4/IPv6, valida TCP, compara os seriais SOA e deteta lame delegations ou glues obsoletos.

P: Como reduzir o tempo de propagação?

R: Reduza o TTL do registo a modificar 24-48h antes da alteração (por exemplo, para 300 segundos). Faça a alteração. Uma vez estável, aumente o TTL de volta ao valor normal para otimizar o desempenho.

P: O que é DNSSEC e porque ativá-lo?

R: O DNSSEC adiciona assinaturas criptográficas às respostas DNS para impedir spoofing e cache poisoning. Sem DNSSEC, um atacante pode redirecionar o seu tráfego para um servidor malicioso. O DNSSEC é indispensável para DANE/TLSA; o Microsoft 365 já se apoia no DNSSEC para suportar o DANE em SMTP (saída desde 2022, entrada desde 2024, configuração manual). Verifique a sua cadeia de confiança com o DNSSEC Checker.

P: Como verificar os dados de registo de um domínio?

R: Use o RDAP Lookup para consultar o registrar, datas (criação, expiração), códigos EPP e status DNSSEC de um domínio. O RDAP substitui o WHOIS desde janeiro de 2025. A ferramenta muda automaticamente para WHOIS nos TLDs não cobertos (.de, .cn, .eu, .ru).

Ferramentas complementares

Recursos úteis

• RFC 1035 - Domain Names (especificação DNS original)
• RFC 8499 - DNS Terminology (glossário DNS oficial)
• Google Public DNS Documentation (guia de uso)
• Cloudflare DNS Learning Center (tutoriais DNS)