Consulta DNS

Os tipos de registos

O NetCheck consulta em direto o resolvedor DNS público da Google (por DNS-over-HTTPS) e mostra a resposta tal como é. Cada tipo de registo tem uma função precisa:

O TTL, ou porque é que uma alteração não é imediata

Cada resposta DNS tem um TTL (time to live), em segundos. É o tempo durante o qual os resolvedores de todo o mundo podem guardar a resposta em memória sem voltar a perguntar. Um TTL de 3600 significa que uma alteração pode demorar até uma hora a ser vista em todo o lado. Antes de uma migração, baixe o TTL para 300 (cinco minutos) na véspera, faça a alteração e volte a subi-lo quando tudo estiver verificado. Para acompanhar uma alteração em curso, use a ferramenta Propagação DNS.

E-mail: SPF, DKIM e DMARC

A maioria dos e-mails que vão parar ao spam explica-se pelos registos TXT.

• SPF enumera os servidores autorizados a enviar e-mail em nome do domínio. Só pode haver um por domínio, a começar por v=spf1. Dois registos SPF distintos invalidam ambos: junte-os.
• DKIM publica uma chave que permite ao destinatário verificar a assinatura de cada mensagem. Fica num subdomínio do tipo seletor._domainkey.exemplo.pt, indicado pelo seu fornecedor de e-mail.
• DMARC, publicado em _dmarc.exemplo.pt, diz o que fazer às mensagens que falham esses controlos: deixá-las passar (p=none), enviá-las para spam (p=quarantine) ou rejeitá-las (p=reject). O Gmail e o Yahoo já o exigem aos remetentes em volume.

Para ler um registo DKIM ou DMARC, escreva diretamente o subdomínio em causa, por exemplo _dmarc.exemplo.pt, e escolha o tipo TXT.

Erros de configuração comuns

• Um CNAME na raiz: a norma proíbe um CNAME no domínio simples (exemplo.pt), porque entraria em conflito com os registos NS e SOA. Alguns fornecedores de DNS oferecem «CNAME flattening» ou um tipo ALIAS para contornar a regra.
• Um MX que aponta para um IP: um MX deve indicar um nome de anfitrião, que por sua vez tenha um registo A.
• Servidores de nomes incoerentes: se os NS declarados no registrar forem diferentes dos da zona, parte dos visitantes pode receber respostas antigas.
• Um AAAA esquecido: se um registo IPv6 ainda aponta para o servidor antigo, os visitantes em IPv6 chegam ao site antigo. Lembre-se disto numa migração.

Ler uma resposta vazia

«Nenhum registo» não significa necessariamente que há um problema: muitos domínios não têm AAAA nem CAA, e é normal. Pelo contrário, um domínio sem A nem AAAA não pode mostrar um site, e um domínio sem MX não pode receber e-mail. Se o resolvedor responder que o domínio não existe (código 3, chamado NXDOMAIN), verifique a ortografia e depois o seu estado com a ferramenta WHOIS.

Perguntas frequentes

Os resultados estão atualizados?

Sim: a consulta vai em direto para o resolvedor público da Google, por DNS-over-HTTPS. Mas esse resolvedor, como todos os outros, respeita o TTL: logo após uma alteração, ainda pode devolver o valor antigo. A ferramenta Propagação DNS compara vários resolvedores ao mesmo tempo.

Qual é a diferença entre um registo A e um CNAME?

O A dá diretamente um endereço IP. O CNAME remete para outro nome, que é resolvido por sua vez. É prático quando o endereço de destino muda com frequência (plataformas, CDN), mas acrescenta um passo e não pode coexistir com outros registos no mesmo nome.

O que significa o número à frente de um registo MX?

É a prioridade: quanto mais baixo, mais prioritário é o servidor. Os remetentes tentam primeiro o servidor com o menor valor e passam aos seguintes se ele não responder.

Para que serve o registo CAA?

Restringe as autoridades de certificação que podem emitir um certificado para o seu domínio. Sem CAA, qualquer uma pode fazê-lo; com ele, uma autoridade não indicada tem de recusar, o que reduz o risco de um certificado fraudulento.