TESTE DE
DNSSEC.

O que o teste verifica

Verifica se a zona é assinada (DNSKEY), se o registro DS foi publicado no registro do domínio e se o resolvedor 1.1.1.1 validou a cadeia de confiança (flag AD).

Por que importa

DNSSEC impede que respostas DNS falsificadas desviem visitantes ou e-mails. Assinar a zona sem publicar o DS no registro não protege nada.

O que cada resultado significa

OK

O DS está publicado no registro e o resolvedor 1.1.1.1 validou a resposta (flag AD).

ATENÇÃO

O DS existe, mas a resposta não veio validada; ou a zona tem chaves DNSKEY sem DS no registro, e então o DNSSEC não está ativo. Algoritmo obsoleto (RSASHA1) aparece marcado.

FALHA

Com DS publicado, resolvedores que validam DNSSEC respondem SERVFAIL: para quem usa esses resolvedores, o domínio some.

INFO

DNSSEC não habilitado. É opcional, mas protege contra respostas DNS falsificadas.

ERRO e TIMEOUT indicam que a consulta não terminou (fonte fora do ar ou lenta), não um problema do domínio: refaça o teste.

Como corrigir

Ative a assinatura no provedor DNS e publique no registrador o DS que ele informar (no registro.br, na seção DNSSEC do domínio). Antes de trocar de provedor DNS, remova o DS, ou o domínio para de resolver. Para conferir:

dig DS exemplo.com.br +short
dig DNSKEY exemplo.com.br +short
dig A exemplo.com.br @1.1.1.1 +dnssec | grep flags

Prefere que outra pessoa faça? A Bit Happens corrige isso →

Outros testes de DNS e servidores de nome

• Registros DNS
• Servidores DNS
• CAA
• Registros TXT
• IPv6
• Rede e hospedagem

Guia: Como diagnosticar problemas de DNS →

Raio-X completo: os 33 testes de DNS, e-mail, HTTPS, certificados e reputação de uma vez →