A resposta curta: o DNSSEC é uma assinatura digital nas respostas do DNS. Serve para quem pergunta «onde está este domínio?» poder confirmar que a resposta não foi falsificada pelo caminho. Não cifra nada e não protege o site nem o e-mail: protege só a pergunta sobre o endereço. É opcional, e mal feito deixa o domínio inalcançável.
Hoje o DNSSEC não está ligado nos domínios da própria Interweb: medimos e nenhum tem as chaves nem o registo no registo do domínio. Se precisa dele no seu, pergunte-nos primeiro: não é automático, e esta página explica porquê.
Como funciona, sem jargão a mais
| 1 |
A zona do domínio é assinada com uma chave. A chave pública fica na própria zona, num registo chamado DNSKEY.
|
|
| 2 |
A «impressão digital» dessa chave (o registo DS) é entregue ao nível de cima, o registo da extensão, através do registador do domínio.
|
|
| 3 |
Quem pergunta confere a cadeia: o DS lá em cima tem de bater com a chave cá em baixo. Se bater, a resposta é de confiança. Se não bater, o servidor de quem pergunta recusa-a, e o domínio desaparece para essa pessoa.
|
|
Como ver se um domínio o tem
Pergunte pelos dois registos: dig DNSKEY o-seu-dominio +short e dig DS o-seu-dominio +short. Se os dois responderem, está assinado. Se nenhum responder, não está, e isso é normal na grande maioria dos domínios. Os dois comandos usam o dig, que se instala no Linux e no Mac.
| A sua situação |
O que pensar |
| Domínio de um blog, de uma loja ou de uma empresa pequena |
Normalmente dispensa. O ganho é pequeno e o risco de erro é real. |
| Um banco, um serviço público ou algo que exige o DNSSEC por regra |
Vale a pena, feito com cuidado e com quem o saiba fazer. |
| Já tem DNSSEC noutro fornecedor e quer mudar de nameservers |
Pare. Tire o registo DS antes de mudar, ou os dois lados têm de assinar com as mesmas chaves. Veja Mudar de registador sem o site e o e-mail falharem. |
|
O erro clássico: mudar de nameservers com um DS antigo ainda no registo. Os servidores que validam o DNSSEC passam a dar erro a toda a gente que os usa, e o domínio «some» para essas pessoas enquanto o DS não for corrigido. É dos problemas de DNS mais difíceis de ver, porque para si pode continuar a abrir.
|
|
Se mesmo assim precisar do DNSSEC, o caminho mais comum é usar um serviço de DNS que o ofereça, como o Cloudflare (Levar a zona toda para o Cloudflare), e acrescentar o registo DS no registador, se o registador e a extensão o aceitarem. Nem todas as extensões o aceitam: confirme antes. Mais sobre quem é quem em Registo, registador e titular.
|
|
Precisa de DNSSEC num domínio que está connosco? Abra um pedido com o domínio e diga-nos porquê.
Abrir pedido de suporte
|
PRODUTO RECOMENDADO Registe o seu domínio .ao Garanta o nome da sua empresa antes que outro o registe. a partir de 30.000,00 Kz/ano Pesquisar domínio |
Português
English
