Configuração DNS: boas práticas de segurança para o seu domínio
A configuração DNS é um dos pilares da segurança de um site – e um dos mais frequentemente esquecidos. Registos DNS mal configurados podem permitir que atacantes façam spoofing do seu domínio, enviem emails fraudulentos em seu nome, ou explorem falhas de configuração para comprometer o seu site. Nesta página reunimos os pontos essenciais a verificar; para cada um, temos um guia completo e passo a passo dedicado.
O que é a configuração DNS e porque é importante para a segurança
O DNS (Domain Name System) é o sistema que traduz o nome do seu domínio (ex: exemplo.pt) no endereço IP do servidor onde o site está alojado. Além desta função básica, o DNS também guarda registos que definem regras de segurança essenciais – por exemplo, quem está autorizado a enviar emails em nome do seu domínio, ou se o próprio DNS pode ser adulterado por terceiros.
Quando estes registos estão mal configurados ou em falta, o domínio fica exposto a riscos como:
- Phishing e spoofing de email: terceiros conseguem enviar emails fingindo ser o seu domínio.
- Sequestro de subdomínios (subdomain takeover): registos DNS apontando para serviços que já não existem podem ser explorados por atacantes.
- Falta de integridade nas respostas DNS: sem proteções adicionais, as respostas DNS podem ser adulteradas em ataques de rede.
- Indisponibilidade do domínio: servidores DNS mal distribuídos criam pontos únicos de falha.
Registos e configurações DNS essenciais para a segurança do seu domínio
Explore cada tópico em detalhe, com explicação técnica e passo a passo de correção:
SPF (Sender Policy Framework)
Define quais os servidores autorizados a enviar emails em nome do seu domínio, evitando que terceiros se façam passar por si em ataques de phishing.
DKIM (DomainKeys Identified Mail)
Assina digitalmente os emails enviados a partir do seu domínio, permitindo confirmar que não foram alterados em trânsito.
DMARC
Define o que fazer quando um email falha as verificações de SPF e DKIM, e dá-lhe visibilidade sobre tentativas de utilização indevida do seu domínio.
DNSSEC
Adiciona assinaturas criptográficas às respostas DNS, protegendo contra ataques de DNS spoofing e cache poisoning.
Registo CAA (Certification Authority Authorization)
Especifica quais as entidades certificadoras autorizadas a emitir certificados SSL/TLS para o seu domínio.
DANE
Associa certificados SSL/TLS ao domínio diretamente via DNS, reforçando a segurança de ligações encriptadas, especialmente em servidores de email.
MTA-STS
Obriga os servidores de email a entregarem mensagens ao seu domínio apenas através de uma ligação TLS encriptada e validada, sem depender de DNSSEC.
TLS Reporting (TLS-RPT)
Dá-lhe visibilidade sobre falhas na entrega segura de email ao seu domínio, complementando o MTA-STS e o DANE.
Distribuição dos servidores DNS por redes diferentes
Evita que uma falha de infraestrutura, routing ou um ataque DDoS numa única rede torne o seu domínio inacessível.
Distribuição dos servidores DNS por Sistemas Autónomos (ASN) diferentes
Reduz a dependência de um único operador de Internet, aumentando a resiliência do seu domínio a falhas de routing BGP.
Boas práticas gerais de configuração DNS
- Remova registos DNS obsoletos: subdomínios (registos CNAME/A) que apontam para serviços já desativados (ex: uma página no Heroku ou GitHub Pages que já não existe) podem ser sequestrados por terceiros. Faça uma auditoria periódica dos seus registos.
- Limite o acesso ao painel de gestão DNS: use autenticação de dois fatores (2FA) na conta do fornecedor de domínio/DNS, já que o acesso a esta área permite redirecionar todo o tráfego do seu site.
- Configure um TTL (Time To Live) equilibrado: valores muito altos atrasam a propagação de alterações urgentes; valores muito baixos aumentam a carga sobre os servidores DNS. Um TTL entre 1h e 24h é geralmente adequado para a maioria dos registos.
- Documente as alterações: mantenha um registo (mesmo que simples, numa folha de cálculo) de todos os registos DNS configurados e para que servem – facilita auditorias futuras e evita remoções acidentais.
- Use um único registo SPF por domínio: ter mais do que um registo SPF invalida a verificação – junte sempre todos os emissores autorizados num único registo.
Configurar corretamente todos estes registos DNS exige tempo e conhecimento técnico – e um erro num deles pode deixar o seu domínio vulnerável ou, no pior caso, inacessível. A maioria dos fornecedores de alojamento genéricos não configura nada disto por defeito. Na WebDig Host, tratamos de toda a configuração e gestão DNS do seu domínio por si, com acompanhamento humano sempre disponível.
Conhecer os serviços de alojamento e gestão de domínios da WebDig Host
Como saber se a configuração DNS do seu domínio está correta
Analisar manualmente todos estes registos pode ser demorado e sujeito a erros. Com o Secure Check, pode verificar gratuitamente a configuração DNS do seu domínio em segundos, incluindo SPF, DKIM, DMARC e outros pontos críticos, com recomendações claras sobre o que corrigir.
Analisar o meu domínio gratuitamente com o Secure Check
Perguntas frequentes sobre configuração DNS
Preciso de configurar SPF, DKIM e DMARC mesmo que não envie muitos emails?
Sim. Mesmo domínios que enviam poucos emails são alvos comuns de spoofing, precisamente porque muitas vezes não têm estas proteções configuradas. A ausência de SPF/DKIM/DMARC facilita que terceiros usem o seu domínio para enviar phishing.
Quanto tempo demora a propagação de alterações DNS?
Depende do TTL configurado nos registos, mas normalmente entre alguns minutos e 48 horas.
Preciso mesmo de mais do que um servidor DNS?
Sim. Ter apenas um servidor DNS autoritativo cria um único ponto de falha: se esse servidor ficar indisponível, o seu domínio deixa de resolver e todos os serviços associados (site, email) ficam inacessíveis. O recomendado é ter pelo menos dois servidores, alojados em redes e, idealmente, ASNs diferentes.
Verifique agora a configuração DNS do seu domínio
Não deixe a segurança do seu domínio ao acaso. Use o Secure Check e receba, gratuitamente, um relatório claro sobre a configuração DNS do seu site.