Simples = uma consulta ao resolvedor · Trace = descida a partir da raiz
opçõesOpções avançadas
Principais funcionalidades da ferramenta
Resposta CAA do nome consultado
Veja os registos CAA devolvidos para o nome introduzido, com os respetivos valores (Let's Encrypt, DigiCert, etc.) e o TTL.
Multi-resolvedor
Compare as respostas do Google, Cloudflare e Quad9 para detetar problemas de propagação.
Tags issue e issuewild
As secções abaixo explicam a função de cada tag. A ferramenta mostra os valores tal como são devolvidos, sem os interpretar.
Tag iodef
Leia o endereço de notificação iodef, caso o domínio publique um. A ferramenta não testa se está acessível nem garante qualquer notificação.
Gratuito e ilimitado
Teste quantos domínios precisar. Sem registo necessário.
Como utilizar corretamente as diferentes opções da ferramenta de consulta DNS?
O que é o traçado iterativo?
O traçado executa a resolução passo a passo. O resolvedor consulta primeiro os servidores raiz, depois os do TLD (.com, .br, .pt) e, por fim, os servidores autoritativos da zona pretendida. Em cada etapa, a página mostra o servidor consultado, a resposta, o RCODE e a latência.
1. Raiz
Descoberta dos servidores do TLD para o nome solicitado.
2. TLD
Referência aos NS da zona (delegação).
3. Autoritativos
Resposta final (ou erro) com TTL e latência.
Para que serve?
Comparar respostas entre resolvedores
Detetar um cache quente, um TTL demasiado longo ou uma delegação incompleta
Explicar diferenças de latência ou um RCODE inesperado
Dica: deixe o traçado desativado para verificações rápidas; ative-o durante investigações ou para preparar um ticket/post-mortem.
O que é o traçado clássico?
O traçado clássico consulta apenas o resolvedor selecionado (UDP ou DoH) e mostra a resposta tal como é percecionada a partir desse ponto da rede. Obtém o RCODE, as secções da resposta e a latência do percurso cliente → resolvedor.
1. Resolvedor escolhido
Use o preset ou a configuração personalizada para lançar a consulta exatamente como o seu serviço faria.
2. Protocolo preservado
Respeita o transporte selecionado (UDP, TCP ou DoH) para reproduzir o comportamento real.
3. Resposta detalhada
Mostra as secções question, answer e authority/additional quando existirem, com TTL e metadados úteis.
Porque utilizá-la?
Verificar a visão de um resolvedor específico antes de suspeitar de delegação
Confirmar valores em cache e o impacto de um TTL ou de um flush
Documentar uma resolução tal como a vê um cliente ou microserviço
Dica: mantenha o traçado iterativo desativado quando auditar um resolvedor específico; ative-o depois para comparar com o percurso raiz → TLD → autoritativo.
Como funciona o teste de propagação?
O teste consulta em paralelo um conjunto de resolvedores públicos (Google, Cloudflare, Quad9, AdGuard, CleanBrowsing, DNS4EU, NextDNS, Surfshark) e agrupa as respostas por conteúdo e RCODE. Vê imediatamente quem já aplicou a atualização.
1. Vários resolvedores
A ferramenta consulta em paralelo os resolvedores públicos do catálogo, a partir dos nossos servidores na Europa.
2. Comparação automática
Agrupa respostas idênticas e assinala divergências ou erros específicos de cada resolvedor.
3. Resumo acionável
Apresenta um resumo claro, a lista de resolvedores, latências e estado de cada grupo.
Quando usar?
Acompanhar a difusão de uma alteração DNS nos principais resolvedores públicos
Identificar caches ainda antigos e decidir um flush direcionado
Partilhar um estado de propagação num ticket ou post-mortem
Dica: o teste de propagação é uma ferramenta dedicada. Use-a para acompanhar uma alteração em vários resolvedores públicos; para uma consulta unitária, utilize o DNS Lookup (Simples ou traçado iterativo).
Um registo CAA (Certificate Authority Authorization) define quais autoridades de certificação (CA) estão autorizadas a emitir certificados SSL/TLS para um domínio. É uma medida de segurança que previne a emissão não autorizada de certificados.
A política de um nome não vem forçosamente do apex. A pesquisa segue os alias. Se a resolução for bem-sucedida sem devolver CAA, retoma no pai do nome pedido e depois no primeiro antecessor que devolva um conjunto CAA, até ao TLD inclusive. Não sobe pelos pais do destino do alias e não consulta a raiz. Um erro de leitura deixa o resultado desconhecido.
A CA recusa emitir. Muitas vezes, o conjunto CAA aplicável contém tags issue, ou issuewild para um wildcard, que não autorizam essa CA. Não é a única causa: um parâmetro accounturi ou validationmethods também pode bloquear, e uma CA pode recusar enquanto a leitura CAA falhar.
Identifique o conjunto CAA aplicável: nome pedido, alias e depois pais
Cada comando consulta um único nome e não sobe para os pais. Veja primeiro o estado: SERVFAIL, REFUSED ou um tempo esgotado não permitem qualquer conclusão. Se o estado for NOERROR sem nenhuma linha CAA e a resposta mostrar apenas uma cadeia de alias, consulte também o último nome de destino, sem subir pelos respetivos nomes pai. Sem conjunto CAA, consulte depois o pai do nome pedido e os seguintes, até ao TLD. O guia completo dos registos CAA descreve este procedimento, alias incluídos.
; Autorizar Let's Encrypt para todos os certificados
captaindns.com. 3600 IN CAA 0 issue "letsencrypt.org"
captaindns.com. 3600 IN CAA 0 issuewild "letsencrypt.org"
; Notificações de segurança
captaindns.com. 3600 IN CAA 0 iodef "mailto:security@captaindns.com"