DANE: o que é e como configurar no seu domínio

O DANE reforça a segurança das ligações encriptadas do seu domínio, associando certificados diretamente ao DNS. Neste artigo explicamos o que é, porque importa e como configurá-lo.

O que é o DANE

O DANE (DNS-based Authentication of Named Entities) é um mecanismo que permite associar certificados SSL/TLS ao domínio diretamente através do DNS, usando registos do tipo TLSA. Em vez de confiar exclusivamente nas entidades certificadoras públicas para validar um certificado, o DANE permite que o próprio titular do domínio especifique, de forma verificável no DNS, qual o certificado (ou chave) que deve ser aceite para esse domínio.

Porque é importante

O sistema tradicional de certificados SSL/TLS depende da confiança em entidades certificadoras públicas: qualquer uma delas pode, em teoria, emitir um certificado válido para o seu domínio, seja por erro, falha de segurança ou má conduta. O DANE reduz esta dependência, permitindo validar a autenticidade de um certificado diretamente através do DNS – especialmente útil quando combinado com DNSSEC, que garante a integridade dessa informação.

O DANE é particularmente relevante para a segurança de servidores de email, sendo usado para validar ligações SMTP encriptadas entre servidores, reduzindo o risco de ataques de downgrade que forçam a comunicação a ocorrer sem cifra.

Boas práticas

  • Ativar o DANE apenas depois de ter o DNSSEC corretamente configurado e validado, já que o DANE depende da integridade garantida pelo DNSSEC para ser efetivamente seguro.
  • Manter os registos TLSA sincronizados com os certificados efetivamente em uso – um registo TLSA desatualizado, referente a um certificado já substituído, pode impedir ligações legítimas.
  • Automatizar a atualização dos registos TLSA sempre que o certificado for renovado, para evitar interrupções.
  • Testar cuidadosamente a configuração antes de aplicar em produção, especialmente em servidores de email, onde um erro pode impedir a receção de emails de servidores que validam DANE.

Como corrigir

  1. Confirme que o DNSSEC está corretamente ativado e validado no seu domínio – este é um pré-requisito indispensável para o DANE.
  2. Identifique o certificado SSL/TLS que pretende associar (por exemplo, o certificado do seu servidor de email).
  3. Gere o registo TLSA correspondente, normalmente através de uma ferramenta de geração de registos TLSA ou do painel do seu fornecedor de DNS/email.
  4. Adicione o registo TLSA ao DNS do domínio, associado ao subdomínio e porta relevantes (por exemplo, ao servidor de email na porta 25).
  5. Valide a configuração através de uma ferramenta de teste de DANE/TLSA.
  6. Sempre que renovar o certificado associado, atualize também o registo TLSA correspondente, para evitar que fique desatualizado.

Um registo TLSA desatualizado pode impedir a receção de emails de servidores que validam DANE, sem que perceba porque motivo – e a maioria dos fornecedores de alojamento nem sequer oferece suporte a DANE. Na WebDig Host, configuramos e mantemos os registos TLSA sincronizados automaticamente sempre que o certificado é renovado, evitando este tipo de falha silenciosa.

Conhecer os serviços de alojamento e gestão de domínios da WebDig Host

Perguntas frequentes sobre o DANE

O DANE substitui os certificados SSL/TLS tradicionais?

Não. O DANE complementa o sistema tradicional de certificados, adicionando uma camada extra de validação através do DNS, em vez de depender exclusivamente das entidades certificadoras públicas.

Preciso de DNSSEC para usar DANE?

Sim. O DANE depende da integridade garantida pelo DNSSEC para ser efetivamente seguro – sem DNSSEC, os registos TLSA poderiam, em teoria, ser adulterados em trânsito, invalidando a proteção que o DANE oferece.

O DANE é mais usado para sites ou para email?

É mais amplamente adotado na validação de ligações SMTP entre servidores de email, embora também possa ser usado para validar certificados de sites (HTTPS). O suporte para email é atualmente mais generalizado entre servidores e fornecedores.

O que acontece se eu atualizar o certificado sem atualizar o registo TLSA?

Servidores que validam DANE podem recusar a ligação, por o certificado apresentado já não corresponder ao registo TLSA existente no DNS. É essencial manter ambos sincronizados.

Existe alguma alternativa ao DANE que não dependa de DNSSEC?

Sim, o MTA-STS oferece uma proteção semelhante para a entrega de email, sem depender do DNSSEC, através de uma política publicada via HTTPS. Os dois mecanismos são complementares e podem ser implementados em conjunto.

Verifique agora a configuração DANE do seu domínio

Com o Secure Check, pode confirmar gratuitamente se o DANE do seu domínio está corretamente configurado, em poucos segundos.

Analisar o meu domínio gratuitamente com o Secure Check