Verificador de DNSSEC

Consulta o registro DNSKEY de um domínio em vários resolvedores DNS públicos (Google, Cloudflare e outros) para verificar se a cadeia de assinaturas DNSSEC é validada corretamente.

Última atualização: 2026-09-20

Diagnosticar uma cadeia de confiança DNSSEC

Esta ferramenta consulta os registros DNSKEY de um domínio contra vários resolvedores públicos e comunica se as assinaturas DNSSEC se verificam até o topo. Descobre o estado em que se quis habilitar o DNSSEC mas a cadeia se rompe em algum ponto do caminho.

**O que o DNSSEC protege é que uma resposta não tenha sido manipulada, não que o seu conteúdo seja secreto.** Quanto viaja segue tão visível quanto sempre; só a autenticidade fica garantida. **A omissão mais frequente é esquecer-se de registrar o registro DS na zona pai.** Você pode colocar chaves na sua própria zona e assiná-la, mas **a menos que se registre um DS no pai, `.com` por exemplo, através do seu registrador, a cadeia de confiança se rompe ali e nada se verifica.** Ao inverso, quando uma rotação de chaves sai mal e deixa uma incoerência, **o domínio inteiro torna-se inalcançável a partir de qualquer resolvedor que valide.** Um estado pela metade pode, portanto, ser mais perigoso do que nunca o ter habilitado.

Como se usa

Insira o domínio Indique unicamente o domínio, na forma `example.com`.
Leia o resultado da validação **Julga se a cadeia de assinaturas alcança o pai.**
Confirme se existe um registro DS **Ali onde falte, nada se verifica por mais chaves que você tenha colocado.**
Compare as respostas de vários resolvedores Uma discrepância aponta para uma cache ou para a configuração.

Dicas para aproveitar melhor

A flag AD (Authenticated Data) só é ativada quando o próprio resolvedor DNS consultado realizou a validação DNSSEC. Resolvedores sem suporte a DNSSEC não conseguem fornecer um resultado significativo.
"DNSSEC não ativado" não é um erro — a maioria dos domínios ainda não usa DNSSEC, e isso não afeta diretamente o posicionamento nas buscas nem a entregabilidade de e-mails.
Se a validação falhar, verifique primeiro se a key tag e o digest do registro DS cadastrado no seu registrador correspondem ao seu DNSKEY atual.
As assinaturas DNSSEC (RRSIG) têm data de expiração. Confirme também se a reassinatura automática do seu software de DNS não parou.
Logo após ativar o DNSSEC, a validação pode aparecer temporariamente como "falhou" até que o registro DS se propague para a zona pai.

Quando é útil

Conferir depois de habilitar o DNSSEC

**Marcar a caixa num painel de controle deixa muitas vezes o trabalho por terminar.**

Levar a termo uma rotação de chaves

Você pode confirmar, de um e outro lado da troca, que a validação não se rompeu.

Isolar por que um nome não se resolve

**Uma incoerência de DNSSEC faz o domínio parecer, só a alguns usuários, ter-se desvanecido.**

Examinar o domínio de um correspondente

Diz-lhe até onde levaram as suas próprias medidas.

Termos de DNSSEC

DNSKEY: O registro que abriga a chave pública de uma zona, empregada ao verificar as assinaturas.
Registro DS: **O registro que inscreve a impressão da chave de uma zona filha na zona pai.** Sem ele a cadeia de confiança se rompe.
RRSIG: A assinatura mesma, anexada a cada registro. Leva uma validade e renova-se a intervalos.
Cadeia de confiança: A estrutura pela qual as assinaturas se encadeiam desde a raiz, passando pelo pai, até a filha. **Uma ruptura num só ponto torna a validação impossível.**
Rotação de chaves: A tarefa de substituir uma chave por outra nova. **Errar o procedimento torna inalcançável o domínio inteiro.**
Resolvedor validante: Um resolvedor que confere de fato as assinaturas DNSSEC. **Ali onde exista uma incoerência, não devolve resposta alguma.**

Perguntas frequentes

"DNSSEC não ativado" por si só não é perigoso — a grande maioria dos domínios ainda opera sem ele. Ainda assim, ativá-lo vale a pena ser considerado como defesa contra o envenenamento de cache DNS, se essa opção estiver disponível.

Usuários em resolvedores que exigem DNSSEC (muitas redes corporativas e alguns provedores de internet) podem não conseguir resolver o domínio de jeito nenhum, pois ele é tratado como SERVFAIL. A menos que seja um estado temporário logo após ativar o DNSSEC enquanto o registro DS se propaga, isso precisa de correção imediata.

Logo após uma troca (rollover) de DNSKEY, chaves antigas e novas podem coexistir brevemente nos caches dos resolvedores, causando resultados de validação temporariamente diferentes. Aguarde um pouco e verifique novamente.

Não. O DNSSEC garante que uma resposta de resolução de nomes não foi adulterada, enquanto o SSL/TLS garante que a própria conexão está criptografada e que o servidor possui o certificado apresentado. São independentes — um domínio pode ter um sem o outro.

Esta ferramenta verifica apenas o status superficial: se um DNSKEY está publicado e se os resolvedores reportam a flag AD. Para uma análise rigorosa de toda a cadeia de assinaturas (consistência de RRSIG/NSEC/NSEC3, etc.), combine com uma ferramenta especializada como o dnsviz.net.

Curiosidade — por que o DNS precisou de uma forma de impedir falsificações

Quando o DNS foi projetado em 1983, não havia nenhuma forma criptográfica de confirmar quem realmente enviou uma resposta. Um resolvedor confiava em qualquer pacote UDP que chegasse com um ID de transação de aparência plausível — um protocolo construído sobre boa-fé, vulnerável à falsificação de IP de origem e à adivinhação de IDs. Em 2008, o pesquisador de segurança Dan Kaminsky mostrou à indústria que essa fragilidade podia ser explorada para realizar ataques práticos e rápidos de envenenamento de cache (injetar registros forjados no cache de um resolvedor), uma descoberta que abalou toda a comunidade DNS.

O DNSSEC (DNS Security Extensions) é a resposta padronizada a esse problema. Ele usa criptografia de chave pública para provar que uma resposta foi assinada pelo operador legítimo da zona. Um domínio assina seus registros com sua DNSKEY, e um registro DS cadastrado na zona pai atesta o digest dessa chave, construindo uma cadeia de confiança ininterrupta desde a raiz do DNS até o domínio individual.

A flag AD (Authenticated Data) em uma resposta DoH (DNS sobre HTTPS) é o resultado de o resolvedor realizar essa validação DNSSEC em seu nome. As aplicações não precisam implementar a verificação de assinaturas por conta própria — consultar um resolvedor confiável e ver AD=true é uma garantia indireta de que a resposta não foi adulterada, desde que o transporte entre o resolvedor e a aplicação (HTTPS) esteja protegido separadamente.

Ver todas as curiosidades