O que é DNSSEC?
O DNSSEC (DNS Security Extensions) assina criptograficamente os registros DNS para que os resolvedores possam verificar que não foram adulterados, defendendo contra envenenamento de cache e spoofing. Ele adiciona uma cadeia de confiança sobre o DNS comum sem mudar o significado dos registros. O IPeek consulta um resolvedor DNS-over-HTTPS validador e informa se o domínio está assinado e autenticado.
Como o DNSSEC constrói uma cadeia de confiança
O DNSSEC funciona assinando cada zona com uma chave privada e publicando a chave pública correspondente no DNS. Os registros são assinados (RRSIG), as chaves são publicadas (DNSKEY) e uma impressão digital da chave da zona (o registro DS) é colocada na zona pai. Isso vincula sua zona à zona pai, que se vincula à sua pai, e assim por diante até a raiz — uma cadeia de confiança contínua. Um resolvedor validador segue essa cadeia da raiz para baixo, verificando cada assinatura, e só confia em respostas cujas assinaturas validam.
Como interpretar os resultados da verificação DNSSEC
O IPeek informa se o domínio está assinado com DNSSEC e se um resolvedor validador o autentica. Um resultado autenticado (frequentemente mostrado como a flag AD, ou Authenticated Data) significa que a cadeia de confiança está intacta e os registros estão verificados. Se o domínio não está assinado, o DNSSEC simplesmente não está habilitado — comum e não um erro, mas significa que os registros não estão protegidos. Um domínio assinado que falha na validação é mais grave: aponta para uma cadeia quebrada, geralmente um registro DS ausente ou incompatível no registrador.
Problemas comuns de DNSSEC e como corrigi-los
A falha mais comum é uma cadeia de confiança quebrada, em que a zona está assinada mas o registro DS no pai está ausente, desatualizado ou não corresponde à chave atual. Isso faz os resolvedores validadores retornarem SERVFAIL e pode deixar o domínio completamente fora do ar para usuários atrás de resolvedores validadores. Geralmente acontece durante rotações de chave ou ao habilitar o DNSSEC sem enviar o registro DS ao registrador. Corrija garantindo que o registro DS no registrador corresponda à chave ativa da sua zona, e nunca remova chaves antigas antes de a atualização do DS ter propagado.