O que é DNSSEC e como funciona?

O DNSSEC adiciona assinaturas digitais aos dados DNS. Um resolvedor validador consegue detectar uma resposta forjada ou uma cadeia de confiança quebrada. Ele protege a origem e a integridade dos registros, mas não criptografa as consultas DNS nem torna um site automaticamente confiável.

Como funciona a cadeia de confiança?

O operador da zona assina os registros com uma chave privada e publica registros DNSKEY e RRSIG. A zona pai mantém um registro DS que a liga à chave da zona filha. Um resolvedor validador segue a cadeia desde uma raiz confiável até a resposta. Ele aceita dados assinados corretamente e pode retornar um erro quando a cadeia está quebrada. A RFC 4033 descreve a finalidade e os limites do DNSSEC.

A prova de que um registro não existe também pode ser autenticada, o que impede um atacante de simplesmente substituir uma resposta negativa. A maioria dos visitantes nunca vê as assinaturas diretamente; o resultado depende de o resolvedor deles validá-las ou não. Uma opção de DNSSEC ativada no painel de controle não prova, por si só, que o DS da zona pai, as chaves publicadas e as assinaturas coincidem em todos os servidores autoritativos.

O que o DNSSEC protege e o que não protege?

Com a validação, o DNSSEC dificulta a modificação não detectada das respostas DNS. Ele não oculta o nome consultado do resolvedor nem criptografa o tráfego até ele; DoH e DoT tratam de outro problema, o da privacidade do transporte. O DNSSEC também não substitui um certificado TLS, um conteúdo honesto no site, a proteção da conta no registrador nem uma boa administração da zona.

Se o dono do domínio publicar um endereço errado, o DNSSEC pode autenticar fielmente esse endereço errado. Mantenha corretos os registros A, AAAA, MX e os demais, independentemente da assinatura. Use uma consulta DNS para comparar as respostas de resolvedores comuns e validadores ao investigar um problema. Evite desativar a validação para todos só para fazer um domínio quebrado parecer funcionar. Para conferir, você também pode usar a verificação de configuração de domínio da 2IP.

Por que um domínio assinado pode parar de resolver?

Uma causa comum é um registro DS desatualizado na zona pai depois da troca de provedor de DNS ou de chaves. Assinaturas expiradas, servidores autoritativos inconsistentes ou uma rotação de chaves malsucedida também podem quebrar a validação. Inspecione a delegação, os valores atuais de DNSKEY e DS, os prazos de validade dos RRSIG e a resposta de cada servidor autoritativo. Anote o erro exato e o horário do teste antes de mudar as configurações.

Antes de migrar uma zona assinada, coordene a atualização do DS com o novo operador e verifique as chaves dele. Depois do reparo, espere as respostas positivas e negativas em cache expirarem. Para um domínio usado por e-mail ou por uma API, prepare uma janela de mudança e um caminho de reversão. Uma automação confiável da assinatura e o monitoramento valem mais do que um status “ativado” não verificado em um painel.