Subdomínios esquecidos e registos DNS que apontam para o vazio: como são sequestrados

Segurança·· 45 visualizações· 3 min de leitura

A resposta curta: quando deixa de usar um serviço mas esquece o registo DNS que apontava para ele (um CNAME para uma loja, um blogue ou uma aplicação que cancelou), alguém pode abrir uma conta nesse serviço, reclamar esse nome e passar a mostrar o que quiser no seu subdomínio, com o seu domínio no endereço. A defesa é simples: limpar o DNS.

O que o site precisa

O quê O que fazer
Como acontece Um subdomínio (loja.o-seu-dominio.com) aponta por CNAME para um serviço. O serviço é cancelado, mas o registo fica. Outro cliente do serviço reclama o nome.
O que o atacante ganha Uma página com o seu domínio no endereço: serve para burlas, para roubar senhas e para parecer legítimo.
Registos de endereço (A) Um A que aponta para um IP que deixou de ser seu pode acabar numa máquina de outra pessoa.
Sinais de alerta Subdomínios que dão erro do serviço («site não encontrado», «não existe») ou páginas que não reconhece.
Quem está em risco Quem teve vários serviços, mudou de fornecedor ou de aplicação, e nunca limpou a zona DNS.

Como começar

1 Faça uma cópia da zona: abra o Editor de Zona e guarde uma lista (ou uma captura) de todos os registos.
2 Percorra cada CNAME e cada A e pergunte: para onde aponta, e ainda uso aquilo? Registos DNS.
3 Abra cada subdomínio no navegador: se dá erro do serviço de destino, é um candidato.
4 Apague os que não usa. Um registo que não serve só pode fazer mal. Se não tem a certeza, mude-o temporariamente para o apagar daí a uns dias.
5 Ao cancelar um serviço, apague o registo DNS no mesmo dia. Ao mudar de DNS, confira a lista: Mudar a zona DNS.
Não apague às cegas. Alguns registos parecem estranhos mas servem o e-mail ou uma verificação (MX, TXT, SPF). Em caso de dúvida sobre um registo, pergunte antes: apagar o errado pode cortar o e-mail. Os registos de e-mail estão em SPF, DKIM e DMARC.
Para limitar quem pode emitir certificados para o seu domínio, veja Registos CAA. Para um subdomínio que aponta para outro serviço: A ou CNAME.

Encontrou um subdomínio que não reconhece? Abra um pedido com o nome e não o apague antes de nos dizer.

Abrir pedido de suporte

VEJA TAMBÉM

Registos DNS explicados: A, CNAME, MX, TXT e TTL

Mudar o DNS para outro fornecedor: reconstruir a zona e conferi-la antes de trocar

Registos CAA: quem pode emitir certificados para o seu domínio

Apontar um subdomínio para outro servidor ou serviço: registo A ou CNAME

SPF, DKIM e DMARC: porque o seu e-mail cai no spam

PRODUTO RECOMENDADO

Registe o seu domínio .com

Garanta o nome da sua empresa antes que outro o registe. a partir de 15,30 €/ano

Pesquisar domínio
Esta resposta foi útil? A sua resposta ajuda-nos a melhorar este artigo.

Artigos Relacionados

Segurança 1 588 O que é um certificado SSL e qual a sua vantagem? Um certificado SSL cifra a ligação entre o navegador de um visitante e o seu site, para que senhas, números de cartão e...
Segurança 1 425 Porque é que o meu certificado SSL não dura 365 dias? Se está no SSL grátis que toda a conta recebe por padrão, isto não se aplica a si - avance para a nota abaixo. Só é rele...
Segurança 2 346 Como redireccionar HTTP para HTTPS via .htaccess Isto obriga todos os visitantes à versão cifrada do seu site, mesmo que escrevam ou liguem para o endereço simples http:...
Segurança 1 557 Como saber se o meu site está infectado por malware A maioria das infecções não se anuncia - aparecem como pequenos sintomas estranhos antes de algo parecer claramente erra...
Segurança 1 516 Como resolver um site infectado por malware Limpar é só metade do trabalho - se a porta que deixou entrar a infecção continuar aberta, ela volta. Siga esta ordem. 1...
Segurança 1 396 Como activar e instalar um certificado SSL pago Todos os domínios aqui já recebem um certificado grátis automaticamente - veja o que é um certificado SSL. Esta página é...