O Que e DNS?

DNS (Domain Name System) e o sistema que traduz nomes legiveis (empresa.com.br) em endereços IP (203.0.113.10). E uma das infraestruturas mais críticas da internet - se o DNS do seu domínio cair ou for sequestrado, todos os serviços associados (site, e-mail, APIs, VPN) param ou são redirecionados para servidores controlados por atacantes.

Cada tipo de registro DNS tem um propósito específico. Os principais que esta ferramenta analisa:

  • A - mapeia o domínio para um IPv4
  • AAAA - mapeia para um IPv6 (essencial em 2026; provedores Brasileiros tem dual stack)
  • MX - aponta para o(s) servidor(es) que recebem e-mail
  • NS - lista os servidores autoritativos do domínio (responsáveis por responder consultas)
  • SOA - metadata do domínio (servidor primário, contato administrativo, serial)
  • TXT - texto livre, usado para SPF, DKIM, DMARC, verificação de propriedade, etc.
  • CAA - lista quais CAs podem emitir TLS

O Que e DNSSEC?

DNSSEC (DNS Security Extensions) adiciona assinatura criptográfica aos registros DNS. Sem DNSSEC, um atacante que consiga envenenar o cache de um resolvedor (ou interceptar a conexão com o servidor autoritativo via BGP hijack) pode forjar respostas - direcionando seus usuários para um site falso ou interceptando seu e-mail.

Com DNSSEC, cada registro vem com um RRSIG (assinatura) que pode ser validada usando o DNSKEY publicado pelo seu domínio. Esse DNSKEY, por sua vez, e ancorado por um hash (DS) publicado no domínio pai - formando uma cadeia até a raiz (.), cujas chaves estão no root trust anchor distribuído com todos os sistemas operacionais.

Quando um resolvedor validante (como Cloudflare 1.1.1.1, Google 8.8.8.8 ou Quad9) responde a uma consulta, ele:

  1. Consulta os DS no pai, depois DNSKEY no filho, depois RRSIG dos registros
  2. Valida cada assinatura recursivamente até a raiz
  3. Se tudo bate, retorna a resposta com a flag AD (Authenticated Data) ativada

E essa flag AD que esta ferramenta verifica para indicar "DNSSEC validado". Sem ela, mesmo que você tenha DNSKEY publicado, a cadeia esta quebrada.

Caminho recomendado para ativar DNSSEC

(1) Habilite assinatura no seu provedor de DNS (Cloudflare, Route 53, Registro.br Premium, Azure DNS - todos oferecem assinatura automática de KSK/ZSK). (2) Copie o hash DS gerado. (3) Publique-o no registrar do domínio (Registro.br, GoDaddy, etc.). (4) Aguarde a propagação (~24h). (5) Valide aqui ou em dnsviz.net.

Registro CAA

CAA (Certification Authority Authorization, RFC 8659) e um registro DNS que indica quais Autoridades Certificadoras estão autorizadas a emitir certificados TLS para seu domínio. Desde setembro de 2017 e obrigatório que as CAs consultem CAA antes de emitir um certificado - inclusive Let's Encrypt, DigiCert, Sectigo, GlobalSign e GoDaddy.

Exemplo de configuração restritiva:

empresa.com.br. CAA 0 issue "letsencrypt.org"
empresa.com.br. CAA 0 issuewild ";"
empresa.com.br. CAA 0 iodef "mailto:security@empresa.com.br"

Esse exemplo diz: "Apenas Let's Encrypt pode emitir certificados; ninguém pode emitir wildcards; envie um e-mail para nossa equipe de segurança se alguém tentar uma emissao não autorizada."

CAA não impede mis-issuance se a CA ignorar a regra (já aconteceu - Symantec foi punida em 2017), mas reduz drasticamente o risco no caso comum e cria um log auditável via Certificate Transparency.

Como a Nota e Calculada

A nota (0-100) e a soma ponderada de:

  • +30 - DNSSEC validado (flag AD presente em consulta autoritativa)
  • +20 - DS publicado no domínio pai (ancorando a cadeia de confiança)
  • +15 - CAA configurado (redução de risco de mis-issuance)
  • +15 - Suporte a IPv6 via AAAA (postura moderna de rede)
  • +10 - 2+ servidores NS (resiliência mínima de DNS)
  • +10 - TXT presente (sinal de autenticacoes configuradas como SPF/DKIM/DMARC)

Classificação:

  • 90-100 - Excelente: postura DNS robusta
  • 70-89 - Bom: alguns ajustes pontuais recomendados
  • 50-69 - Regular: gaps relevantes - planeje correção
  • 0-49 - Crítico: postura DNS abaixo do esperado

Perguntas Frequentes

O que e DNSSEC?

DNSSEC adiciona assinatura criptográfica aos registros DNS, permitindo que resolvedores validem autenticidade. Mitiga cache poisoning, DNS hijacking e ataques de homem-no-meio na resolução.

O que e CAA?

CAA indica quais Autoridades Certificadoras podem emitir certificados TLS para seu domínio. CAs são obrigadas a respeitar essa diretriz desde 2017 (CA/Browser Fórum).

Esta ferramenta consulta DNS real?

Sim. Usamos DNS over HTTPS (DoH) do Cloudflare (1.1.1.1) e Google (8.8.8.8) para consultar registros DNS públicos. Nenhum dado e enviado para nossos servidores.

Por que habilitar DNSSEC?

DNSSEC e a única defesa criptográfica contra DNS spoofing e cache poisoning. E exigido por diversos frameworks (NIST SP 800-81) e e simples de habilitar - todos os provedores grandes oferecem assinatura automática.

O que e o registro DS?

DS (Delegation Signer) e um hash do DNSKEY publicado pelo seu domínio - mas armazenado no domínio pai (.br para empresa.com.br). E o que ancora a cadeia de confiança DNSSEC até a raiz.

O que cada nota significa?

Nota combina DNSSEC validado (+30), DS no pai (+20), CAA (+15), IPv6 (+15), 2+ NS (+10) e TXT (+10). Excelente (90+) e postura robusta; Crítico (<50) indica gaps relevantes.

Sua empresa precisa de ajuda com a postura DNS?

Implementamos DNSSEC, CAA e governança DNS

Avaliamos sua superfície DNS, ativamos DNSSEC ponta a ponta (registrar + DNS authority), implementamos CAA com políticas alinhadas as CAs em uso e configuramos monitoramento via Certificate Transparency.

Solicitar Proposta