Caixa de ferramentas DNS

Por que usar ferramentas DNS?

O DNS é o primeiro passo de toda conexão com a Internet. Um problema DNS = site inacessível, emails não entregues, certificados SSL impossíveis de validar. Sem visibilidade sobre sua configuração DNS, você trabalha às cegas.

Três situações em que estas ferramentas são indispensáveis:

• Migração de servidor → Verificar que o novo A/AAAA está propagado antes de desligar o antigo
• Problema de email → Confirmar que MX, SPF, DKIM, DMARC estão corretamente publicados
• Site inacessível → Diagnosticar se o problema vem do DNS, do servidor ou da rede
• DNSSEC quebrado → Verificar a cadeia de confiança, detectar DS órfãos ou assinaturas expiradas

Como diagnosticar um problema DNS em 3 passos

Passo 1: Executar uma pesquisa DNS

Acesse o DNS Lookup, insira seu domínio e selecione o tipo de registro:

• A: endereço IPv4 do servidor
• AAAA: endereço IPv6
• MX: servidores de email
• TXT: SPF, DKIM, DMARC, verificações
• NS: nameservers autoritativos

Compare as respostas do Google DNS, Cloudflare, Quad9 e do servidor autoritativo.

Passo 2: Auditar a saúde DNS

Use a Auditoria DNS para uma análise completa:

• Consistência parent/zona
• Delegação e glue records
• Acessibilidade IPv4 e IPv6
• Suporte TCP (obrigatório para respostas volumosas)
• Sincronização SOA entre servidores

Passo 3: Acompanhar a propagação

Após uma alteração, o Teste de propagação compara as respostas de dezenas de resolvers públicos. Você vê instantaneamente quem tem o novo valor e quem ainda mantém o antigo.

O que é DNS?

O DNS (Domain Name System) traduz nomes de domínio em endereços IP. Quando você digita captaindns.com, seu navegador consulta um resolver DNS que segue a cadeia:

1. Servidores root → Indicam onde encontrar o TLD (.com)
2. Servidores TLD → Indicam os NS do domínio
3. Servidores autoritativos → Fornecem a resposta final

Exemplo de resolução:

Consulta: captaindns.com A
→ Root: "O .com é gerenciado por a.gtld-servers.net"
→ TLD: "captaindns.com está delegado para ns1.provider.com"
→ Autoritativo: "A = 203.0.113.50, TTL 3600"

Tipos de registros DNS analisados

DNSSEC: proteger a cadeia de resolução DNS

O DNSSEC (Domain Name System Security Extensions) adiciona uma camada de assinaturas criptográficas ao DNS. Sem DNSSEC, um atacante pode interceptar e modificar as respostas DNS (DNS spoofing, cache poisoning) para redirecionar o tráfego para um servidor malicioso.

Como funciona o DNSSEC:

1. Cada zona DNS assina seus registros com uma chave privada
2. A chave pública é publicada no DNS (registro DNSKEY)
3. O parent publica um registro DS (Delegation Signer) que vincula a chave da zona filha
4. O resolver verifica cada assinatura subindo até a root

O que o DNSSEC Checker verifica:

O DNSSEC é indispensável para DANE/TLSA (segurança SMTP) e está se tornando pré-requisito para cada vez mais serviços. O Microsoft 365 exigirá DNSSEC para domínios de email em 2026.

RDAP: dados de registro de domínios

O RDAP (Registration Data Access Protocol) substitui o WHOIS para consultar os dados de registro de um domínio. Desde 28 de janeiro de 2025, a ICANN não exige mais WHOIS para gTLDs. 374 TLDs já desativaram seu serviço WHOIS.

O que um RDAP Lookup revela:

• Registrar: quem gerencia o domínio (nome, identificador IANA, contato de abuso)
• Datas: criação, expiração, última modificação, idade do domínio
• Códigos EPP: bloqueios ativos (transferProhibited, deleteProhibited), suspensões, status transitórios
• DNSSEC: o domínio está assinado com DNSSEC no nível do registrar?
• Contatos: titular, administrativo, técnico (se não mascarados pela LGPD/GDPR)

Por que isso importa:

• Um domínio sem clientTransferProhibited é vulnerável a roubo (domain hijacking)
• Um domínio em pendingDelete será excluído em 30 dias
• Um domínio criado há menos de 30 dias é potencialmente suspeito (phishing)
• A ausência de DNSSEC expõe o domínio ao DNS spoofing

A ferramenta detecta automaticamente o protocolo (RDAP ou WHOIS) e normaliza os resultados no mesmo formato, independentemente do TLD.

Casos de uso concretos

Incidente 1: Site inacessível após migração

Sintoma: O site funciona para alguns usuários, não para outros.

Diagnóstico:

• Execute um DNS Lookup no registro A
• Compare as respostas: Google tem o novo IP, alguns ISPs ainda têm o antigo

Ação: Aguardar a expiração do TTL ou reduzir o TTL antes da próxima migração.

Incidente 2: Emails rejeitados após mudança de provedor

Sintoma: Os emails de saída são rejeitados com "SPF fail".

Diagnóstico:

• Verifique o TXT com DNS Lookup
• O antigo include ainda está presente, o novo está faltando

Ação: Corrigir o registro SPF, aguardar a propagação, testar novamente.

Incidente 3: Certificado SSL impossível de gerar

Sintoma: Let's Encrypt falha com "DNS problem".

Diagnóstico:

• Execute a auditoria DNS do domínio
• Um NS está em lame delegation (não responde como autoritativo)

Ação: Corrigir a delegação no registrar, aguardar a propagação.

FAQ - Perguntas frequentes

P: Como funciona a pesquisa DNS?

R: A ferramenta consulta o resolver selecionado (Google, Cloudflare ou o servidor autoritativo) e exibe a resposta bruta com TTL, seções answer/authority/additional e latência. Você pode ativar o trace iterativo para ver cada etapa da resolução.

P: O que é propagação DNS?

R: "Propagação" refere-se ao tempo necessário para que os caches dos resolvers expirem e busquem o novo valor. Depende do TTL: um TTL de 3600 significa que alguns resolvers podem manter o valor antigo por até 1 hora após sua alteração.

P: Por que os resultados diferem entre resolvers?

R: Cada resolver tem seu próprio cache. Se um resolver consultou sua zona antes da sua alteração, ele mantém a resposta em cache até que o TTL expire. Por isso as alterações não são instantâneas em todos os lugares.

P: O que a auditoria DNS verifica?

R: A auditoria verifica a consistência entre parent (registry) e zona, confirma que cada NS responde como autoritativo, testa IPv4/IPv6, valida TCP, compara os seriais SOA e detecta lame delegations ou glues obsoletos.

P: Como reduzir o tempo de propagação?

R: Reduza o TTL do registro a modificar 24-48h antes da alteração (por exemplo, para 300 segundos). Faça a alteração. Uma vez estável, aumente o TTL de volta ao valor normal para otimizar o desempenho.

P: O que é DNSSEC e por que ativá-lo?

R: O DNSSEC adiciona assinaturas criptográficas às respostas DNS para impedir spoofing e cache poisoning. Sem DNSSEC, um atacante pode redirecionar seu tráfego para um servidor malicioso. O DNSSEC é indispensável para DANE/TLSA e será exigido pelo Microsoft 365 em 2026. Verifique sua cadeia de confiança com o DNSSEC Checker.

P: Como verificar os dados de registro de um domínio?

R: Use o RDAP Lookup para consultar o registrar, datas (criação, expiração), códigos EPP e status DNSSEC de um domínio. O RDAP substitui o WHOIS desde janeiro de 2025. A ferramenta muda automaticamente para WHOIS nos TLDs não cobertos (.de, .cn, .eu, .ru).

Ferramentas complementares

Recursos úteis

• RFC 1035 - Domain Names (especificação DNS original)
• RFC 8499 - DNS Terminology (glossário DNS oficial)
• Google Public DNS Documentation (guia de uso)
• Cloudflare DNS Learning Center (tutoriais DNS)