A resposta curta: o DNSSEC é uma assinatura digital nas respostas do DNS. Serve para quem pergunta «onde está este domínio?» poder confirmar que a resposta não foi falsificada pelo caminho. Não criptografia nada e não protege o site nem o e-mail: protege só a pergunta sobre o endereço. É opcional, e mal feito deixa o domínio inalcançável.
Hoje o DNSSEC não está ligado nos domínios da própria MozOut: medimos e nenhum tem as chaves nem o registro no registro do domínio. Se precisa dele no seu, pergunte-nos primeiro: não é automático, e esta página explica por quê.
Como funciona, sem jargão a mais
| 1 |
A zona do domínio é assinada com uma chave. A chave pública fica na própria zona, num registro chamado DNSKEY.
|
|
| 2 |
A «impressão digital» dessa chave (o registro DS) é entregue ao nível de cima, o registro da extensão, através do registrador do domínio.
|
|
| 3 |
Quem pergunta confere a cadeia: o DS lá em cima tem que bater com a chave cá em baixo. Se bater, a resposta é de confiança. Se não bater, o servidor de quem pergunta recusa-a, e o domínio desaparece para essa pessoa.
|
|
Como ver se um domínio o tem
Pergunte pelos dois registros: dig DNSKEY o-seu-dominio +short e dig DS o-seu-dominio +short. Se os dois responderem, está assinado. Se nenhum responder, não está, e isso é normal na grande maioria dos domínios. Os dois comandos usam o dig, que se instala no Linux e no Mac.
| A sua situação |
O que pensar |
| Domínio de um blog, de uma loja ou de uma empresa pequena |
Normalmente dispensa. O ganho é pequeno e o risco de erro é real. |
| Um banco, um serviço público ou algo que exige o DNSSEC por regra |
Vale a pena, feito com cuidado e com quem o saiba fazer. |
| Já tem DNSSEC em outro fornecedor e quer mudar de nameservers |
Pare. Tire o registro DS antes de mudar, ou os dois lados têm que assinar com as mesmas chaves. Veja Mudar de registrador sem o site e o e-mail falharem. |
|
O erro clássico: mudar de nameservers com um DS antigo ainda no registro. Os servidores que validam o DNSSEC passam a dar erro a todo mundo que os usa, e o domínio «some» para essas pessoas enquanto o DS não for corrigido. É dos problemas de DNS mais difíceis de ver, porque para si pode continuar abrindo.
|
|
Se mesmo assim precisar do DNSSEC, o caminho mais comum é usar um serviço de DNS que o ofereça, como o Cloudflare (Levar a zona toda para o Cloudflare), e acrescentar o registro DS no registrador, se o registrador e a extensão o aceitarem. Nem todas as extensões o aceitam: confirme antes. Mais sobre quem é quem em Registro, registrador e titular.
|
|
Precisa de DNSSEC num domínio que está conosco? Abra um pedido com o domínio e diga-nos por quê.
Abrir pedido de suporte
|
PRODUTO RECOMENDADO Registe o seu domínio .com Garanta o nome da sua empresa antes que outro o registe. a partir de R$ 93,50/ano Pesquisar domínio |
Angola
Brasil
Kenya
Moçambique
Nigeria
Portugal
South Africa
United Kingdom
United States
International
