Saltar para o conteúdo
Ajuda de emergênciaComeçar agora
Voltar para Ferramentas

Verificador de DNSSEC

Verifique se as respostas DNS de um domínio estão assinadas e passam na validação. O verificador consulta um resolvedor com validação, lê os registos DS e DNSKEY e explica o que significa uma falha.
Começar a verificação
  • Verificação não intrusiva
  • DNS over HTTPS

O que é uma verificação de DNSSEC?

O DNSSEC (DNS Security Extensions) assina os registos DNS para que os resolvedores possam confirmar que uma resposta veio da zona real do domínio e não foi alterada pelo caminho. Funciona como uma cadeia: a zona-mãe, por exemplo.com, publica um registo DS que corresponde a um dos registos DNSKEY do domínio, e os registos do domínio são assinados com essas chaves.

O verificador envia as consultas através de DNS-over-HTTPS para um resolvedor público com validação: Cloudflare 1.1.1.1, com Google Public DNS como alternativa. Se o resolvedor definir a flag AD, a resposta passou na validação. Se uma consulta falhar com a validação ativada, mas tiver êxito com a validação desativada, a cadeia está quebrada.

O que o verificador de DNSSEC indica

Cada verificação lê o DNS público através de um resolvedor com validação. As recomendações de algoritmos seguem os registos da IANA que o RFC 9904 tornou a referência.

Flag AD

Definida pelo resolvedor com validação quando todos os registos da resposta foram verificados com DNSSEC.

Registo DS

Publicado na zona-mãe através da sua entidade de registo. A etiqueta da chave e o algoritmo têm de corresponder a uma DNSKEY da sua zona. A IANA recomenda SHA-256 (tipo de resumo 2) e indica que SHA-1 não deve ser usado para delegação.

Registos DNSKEY

As chaves públicas da sua zona. Flags 257 ativa o bit Secure Entry Point, usado na chave de assinatura de chaves (KSK) para a qual aponta o registo DS; 256 é uma chave de assinatura de zona (ZSK).

Algoritmo

A IANA lista os algoritmos 8 (RSASHA256), 13 (ECDSAP256SHA256) e 15 (ED25519) como recomendados para assinatura e determina que os algoritmos 5 e 7 (RSA com SHA-1) não devem ser usados para assinar.

Falha de validação

SERVFAIL com a validação ativada, mas uma resposta com a validação desativada. Os utilizadores de resolvedores com validação não conseguem resolver o domínio até o registo DS e as chaves voltarem a corresponder.

O que significa o resultado

O DNSSEC está ativado e passa na validação

Um resolvedor com validação autenticou a resposta (flag AD definida): a zona está assinada e o seu registo DS na zona-mãe corresponde às suas chaves.

O DNSSEC não está ativado

O domínio não tem registo DS na zona-mãe e não publica registos DNSKEY, pelo que as respostas DNS para o domínio não podem ser autenticadas.

A zona está assinada, mas o registo DS está em falta

A zona publica registos DNSKEY, mas a zona-mãe não tem nenhum registo DS para ela, pelo que os resolvedores a tratam como não assinada. Adicione na sua entidade de registo o registo DS fornecido pelo seu fornecedor de DNS.

A validação DNSSEC falha

Os resolvedores com validação devolvem SERVFAIL para este nome, e a resposta só é devolvida com a validação desativada. Os visitantes que usam resolvedores com validação não conseguem aceder-lhe. Normalmente, isto significa que o registo DS na entidade de registo já não corresponde às chaves da zona.

Verificações relacionadas e próximos passos

Cloudflare gerido

Mantenha a Cloudflare configurada, monitorizada e a melhorar. A Vigilbase trata das alterações acordadas e da resposta a incidentes, com opções de cobertura Core, Priority e Critical.

Explorar Cloudflare gerido

SOC gerido

SOC gerido nas ferramentas de segurança que já paga. O agente Vigil investiga, os analistas tratam das exceções e a cobertura segue o seu nível de SLA.

Explorar SOC gerido
Enviar um e-mail a um especialista em segurança

Fontes

Perguntas

Perguntas frequentes sobre o verificador de DNSSEC

Como verifico se o DNSSEC está ativado?

Consulte o registo DS do domínio na zona-mãe e os seus registos DNSKEY, depois peça a um resolvedor com validação um dos registos do domínio e verifique a flag AD. O verificador faz as três coisas.

Como ativo o DNSSEC?

Ative a assinatura DNSSEC no seu fornecedor de DNS, que publica os registos DNSKEY e lhe fornece um registo DS. Adicione esse registo DS na sua entidade de registo. Os resolvedores começam a validar assim que a zona-mãe o publica.

O que acontece quando o DNSSEC falha?

Os resolvedores com validação, entre os quais Cloudflare 1.1.1.1 e Google Public DNS, devolvem SERVFAIL, pelo que os seus utilizadores não conseguem resolver o domínio. A causa habitual é um registo DS que deixou de corresponder às chaves da zona após uma mudança de chaves ou uma migração para um novo fornecedor de DNS.

Que algoritmo DNSSEC devo usar?

O registo da IANA lista os algoritmos 8 (RSASHA256), 13 (ECDSAP256SHA256) e 15 (ED25519) como recomendados para assinatura. O algoritmo 13 produz assinaturas muito mais pequenas do que o RSA.

O DNSSEC encripta o DNS?

Não. O DNSSEC prova que as respostas DNS são autênticas e não foram alteradas; não as oculta. Transportes encriptados como o DNS over HTTPS protegem as consultas em trânsito.

A verificação é guardada?

Não. Os resultados não são guardados. As consultas vão para o resolvedor público, que procura o domínio tal como faria para qualquer visitante.Compare as verificações públicas de segurança