DNSSEC: o que ele protege — e o que não protege
Assinaturas criptográficas que tornam respostas DNS verificáveis. Não é criptografia — e, uma vez ligado, não é opcional mantê-lo saudável.
Atualizado em 27 de julho de 2026
Uma resposta DNS comum é só um pacote — qualquer um no caminho pode forjar uma, e o resolver não tem como perceber. O DNSSEC acrescenta assinaturas: a sua zona publica chaves públicas (DNSKEY) e assina cada resposta (RRSIG). Um resolver validador confere a assinatura e recusa falsificações.
NÃO é criptografia: as respostas continuam legíveis por qualquer um. O DNSSEC prova que a resposta não foi adulterada — ele não a esconde.
A cadeia de confiança
Assinatura sozinha não prova nada — um atacante assinaria com a chave dele. A confiança vem de uma cadeia: a zona raiz atesta a .com, a .com atesta o seu domínio via registro DS, e a sua DNSKEY assina as respostas. Quebre qualquer elo e os resolvers validadores devolvem SERVFAIL: para eles, o seu domínio deixa de existir.
dig example.com A +dnssec # o flag "ad" indica resposta validadaO modo de falha que ninguém te conta
DNSSEC quebrado é pior que DNSSEC desligado. Assinatura expirada, DS no registrador apontando para uma chave que você não serve mais, desligar o DNSSEC sem tirar o DS — cada um desses derruba o seu domínio para todo resolver validador (que hoje é a maioria), enquanto parece tudo normal nos que não validam. O sintoma é "funciona para uns e não para outros": o pior tipo de queda para depurar.
Veja isso no seu próprio domínio
O diagnóstico DNS gratuito roda exatamente estas verificações — delegação, DNSSEC, e-mail, TTLs — em qualquer domínio.