Punycode e nomes de domínio internacionalizados

O Punycode é uma codificação que representa caracteres Unicode em uma forma compatível com ASCII nos nomes de domínio internacionalizados. Por isso, um domínio escrito com acentos ou caracteres de outros alfabetos pode aparecer em dados técnicos como um rótulo que começa com xn--. A codificação muda apenas a representação; ela não comprova que um site é legítimo.

Rótulos Unicode e rótulos DNS

As pessoas podem ver um rótulo Unicode, chamado de U-label. Seu equivalente compatível com ASCII é o A-label, que começa com xn-- quando o Punycode entra em jogo. Cada rótulo elegível entre os pontos é processado separadamente. A conversão não codifica a URL inteira: esquema, caminho e query string seguem outras regras.

Por exemplo, o rótulo de teste IDN bücher tem o A-label xn--bcher-kva. As duas formas se referem ao mesmo rótulo de domínio quando processadas segundo as regras IDNA aplicáveis. Os registros podem impor outras restrições sobre quais rótulos podem de fato ser registrados.

Por que a exibição pode mudar

Dependendo das regras de segurança e de idioma, o navegador pode mostrar a forma Unicode de um domínio e o A-label de outro. Ao copiar uma URL para uma ferramenta de diagnóstico, você pode se deparar com uma sequência xn-- desconhecida. Isso é normal em muitos nomes internacionalizados e, por si só, não indica um ataque.

Por outro lado, caracteres de alfabetos diferentes podem ser parecidos. Um domínio enganoso pode lembrar uma marca conhecida e, ainda assim, usar outros code points por baixo. O Punycode codifica esses caracteres fielmente; ele não detecta falsificação, não confirma a titularidade e não verifica o conteúdo do site.

Como verificar um endereço suspeito

Leia o nome do host inteiro, inclusive a terminação do domínio, antes de digitar credenciais. Compare-o com um favorito confiável ou com o endereço divulgado pela organização. Desconfie de links em mensagens urgentes e confira o nome no certificado quando o navegador exibir um aviso.

As ferramentas de conversão mostram as formas Unicode e ASCII, mas a conversão sozinha não é um veredito de segurança. Os dados de registro podem dar contexto, mas registros privados ou limitados não comprovam a identidade de um remetente. Na dúvida, acesse o serviço por conta própria em vez de seguir o link suspeito.

Ao documentar um nome suspeito, guarde tanto a forma Unicode quanto o A-label. Assim, uma diferença de fonte ou um copiar e colar não escondem o domínio exato que foi visitado.

Ao preservar provas de um link suspeito, copie a grafia Unicode visível e o A-label correspondente. Uma diferença de fonte ou a pré-visualização automática de links pode esconder quais caracteres foram realmente usados. Anote também a URL completa separadamente do domínio; um caminho enganoso pode aparecer depois de um host legítimo.

IDNs continuam usando os mecanismos normais do DNS

Depois da conversão, o A-label participa do DNS como qualquer outro rótulo válido: delegação, cache, DNSSEC e tipos de registro continuam valendo. Se um nome Unicode falhar, compare a forma ASCII exata e as respostas DNS, em vez de confiar apenas no que o navegador exibe.