O que é DNSSEC e que ataques pode ajudar a evitar?

Publicado em 2026-10-26 por frfrand

DNSSEC explicado: assinaturas DNS, validação de respostas, cadeia de confiança e limitações frente ao HTTPS.

DNSSEC adiciona assinaturas criptográficas a determinados dados DNS para que os resolvedores que validam possam verificar sua autenticidade e integridade. Não cifra as consultas DNS nem substitui o HTTPS; protege uma parte diferente do caminho.

Uma forma simples de entender

Se você receber um endereço escrito em um papel, como saber se alguém não o substituiu? O DNSSEC se assemelha a adicionar uma assinatura verificável à resposta, de modo que um sistema preparado possa comprovar que a informação foi publicada pela zona correspondente e não modificada por um intermediário.

Como funciona na prática?

As zonas DNS assinadas publicam registros que permitem verificar assinaturas, como DNSKEY e RRSIG, e estabelecem uma cadeia de confiança por meio de registros DS nos níveis apropriados. Um resolvedor validador verifica essa cadeia antes de aceitar certos resultados. A configuração depende dos servidores autoritativos e do registrador de domínio.

O que não resolve e seus limites

Uma zona assinada incorretamente pode causar falhas de resolução que parecem uma queda do site. O DNSSEC também não prova que o site ao qual você se conecta é honesto, nem protege o conteúdo HTTP, as senhas ou o banco de dados. A privacidade do usuário é outro problema: o DNSSEC não oculta qual nome você consultou.

Como aplicá-lo e verificá-lo sem surpresas

Verifique se seu provedor DNS suporta assinaturas e como ele gerencia as chaves. Se precisar publicar um registro DS, certifique-se de que ele coincida com as informações da zona. Teste o resultado a partir de resolvedores validadores e planeje as mudanças de provedor; uma migração descuidada pode deixar o domínio inacessível.

Como aparece no ArduMaker?

Se você administra domínios que apontam para aplicações em VPS do ArduMaker, o DNSSEC depende da zona autoritativa e do registrador, não do fato de o site estar hospedado em um VPS. É útil separar esses conceitos ao investigar falhas de resolução.

Por que um site pode falhar ao ativar o DNSSEC?

O problema nem sempre está no servidor web. Se a cadeia de assinaturas DNS for inválida, um resolvedor validador pode rejeitar a resposta antes que o navegador tente a conexão HTTPS. Por isso, após uma queda decorrente de uma mudança de provedor DNS, convém verificar o DNSSEC antes de reiniciar um aplicativo que está perfeitamente operacional.

Convém ativá-lo sempre?

É útil quando o registrador e o serviço autoritativo fornecem manutenção adequada. Se você não puder gerenciar corretamente rotações de chaves, mudanças de provedor e supervisão da cadeia, primeiro prepare o procedimento. A segurança também envolve não quebrar a disponibilidade dos usuários.

Para lembrar

DNSSEC adiciona assinaturas criptográficas a determinados dados DNS para que os resolvedores que validam possam verificar sua autenticidade e integridade. Entender quando se aplica, como falha e quais dados revisar é mais útil do que memorizar comandos soltos.

Para ampliar: ICANN: DNSSEC.