DNSSEC: o que é e como ativar no seu domínio

O DNSSEC protege a integridade das respostas DNS do seu domínio, evitando que sejam adulteradas em trânsito. Neste artigo explicamos o que é, porque importa e como ativá-lo corretamente.

O que é o DNSSEC

O DNSSEC (Domain Name System Security Extensions) adiciona assinaturas criptográficas às respostas DNS, garantindo que a informação recebida por quem consulta o seu domínio não foi adulterada em trânsito.

Porque é importante

Sem DNSSEC, o seu domínio fica mais vulnerável a ataques de DNS spoofing e cache poisoning, em que um atacante consegue fazer com que os visitantes sejam redirecionados para servidores fraudulentos, mesmo introduzindo corretamente o endereço do seu site.

Boas práticas

Confirmar que o fornecedor de domínio e o fornecedor de DNS suportam DNSSEC antes de ativar.
Confirmar também que o TLD (a extensão do domínio, como .pt, .com ou .eu) suporta DNSSEC – nem todos os TLDs oferecem ainda este suporte, pelo que a ativação pode não estar disponível em alguns domínios.
Testar cuidadosamente após a ativação, já que uma configuração incorreta pode tornar o domínio inacessível.
Manter as chaves DNSSEC atualizadas e renová-las de acordo com as recomendações do fornecedor.
Validar periodicamente a configuração através de uma ferramenta de teste de DNSSEC.

Como corrigir

Verifique se o seu TLD (a extensão do domínio, como .pt, .com ou .eu) suporta DNSSEC – nem todos os TLDs oferecem ainda este suporte.
Verifique também se o seu fornecedor de domínio e o seu fornecedor de DNS suportam DNSSEC (a maioria dos fornecedores atuais suportam).
Ative o DNSSEC no painel de gestão do domínio.
Se o registo do domínio (registrar) e a gestão de DNS estiverem em fornecedores diferentes, será necessário adicionar um registo DS junto do registrar, fornecido pelo serviço de DNS.
Confirme a ativação através de uma ferramenta de validação DNSSEC.

O DNSSEC é um dos registos mais delicados de configurar – um erro pode tornar o seu domínio inteiramente inacessível, e a maioria dos fornecedores de alojamento genéricos evita mexer nisto por essa razão. Na WebDig Host, ativamos e validamos o DNSSEC do seu domínio com o cuidado técnico necessário, para que não corra o risco de ficar offline por uma configuração mal feita.

Conhecer os serviços de alojamento e gestão de domínios da WebDig Host

Perguntas frequentes sobre o DNSSEC

O DNSSEC pode causar problemas se for mal configurado?

Sim, uma configuração incorreta de DNSSEC pode tornar o domínio inacessível. Recomenda-se testar cuidadosamente após a ativação e, em caso de dúvida, contar com apoio técnico especializado.

O DNSSEC encripta o tráfego DNS?

Não. O DNSSEC garante a integridade e autenticidade das respostas DNS, mas não as encripta. Para privacidade das consultas DNS, existem protocolos complementares como o DNS over HTTPS (DoH) ou DNS over TLS (DoT).

Todos os fornecedores de DNS suportam DNSSEC?

A maioria dos fornecedores atuais suporta, mas nem todos. Vale a pena confirmar diretamente junto do seu fornecedor antes de tentar ativar.

O DNSSEC tem alguma utilidade prática além de proteger as respostas DNS?

Sim. O DNSSEC é também um pré-requisito para o DANE, um mecanismo que permite associar certificados SSL/TLS ao domínio diretamente via DNS, reforçando ainda mais a segurança de ligações encriptadas, especialmente para servidores de email.

O que acontece se o meu TLD não suportar DNSSEC?

Nesse caso, não é possível ativar o DNSSEC para esse domínio, independentemente do fornecedor de DNS que utilize. Os principais TLDs genéricos (como .com, .org, .net) e vários TLDs nacionais, incluindo o .pt, já suportam DNSSEC, mas é sempre recomendável confirmar o estado atual do seu TLD específico junto do registo respetivo.

Verifique agora o DNSSEC do seu domínio

Com o Secure Check, pode confirmar gratuitamente se o DNSSEC do seu domínio está corretamente configurado, em poucos segundos.