Consulta de registros DNS
Digite um domínio ou um hostname e leia tudo o que o DNS publica para ele, um tipo de registro por vez. Cada bloco diz para que serve aquele tipo, e apontamos os poucos registros que se contradizem.
Um nome, vários tipos de resposta
Muita gente gosta de chamar o DNS de lista telefônica da internet. A imagem funciona se você imaginar uma lista em que cada nome tem várias linhas: uma para o endereço da rua, uma para a caixa de correio, uma para o cartório que guarda a ficha. Um navegador só pergunta o endereço. Um servidor de e-mail só pergunta a caixa de correio. Cada tipo de linha é um tipo de registro, e uma pergunta ao DNS sempre informa o domínio e o tipo que quer.
É assim que um domínio pode abrir perfeitamente no navegador enquanto os e-mails dele voltam. Os dois dependem de registros diferentes, editados separadamente, muitas vezes por pessoas diferentes.
Os tipos de registro que esta consulta lê
| Tipo | Contém | Lido por |
|---|---|---|
A, AAAA | Os endereços IPv4 e IPv6 do servidor | Navegadores e qualquer outra coisa que se conecte ao nome |
CNAME | Outro nome a usar no lugar deste | Resolvedores, que recomeçam com o destino |
MX | Os servidores que aceitam e-mail, cada um com uma prioridade | Servidores de e-mail que enviam |
NS | Os servidores de nomes que guardam a zona | Resolvedores em busca da fonte oficial |
SOA | O servidor primário da zona, o contato, o número de série e os temporizadores | Servidores de nomes secundários |
TXT | Texto livre: SPF, chaves DKIM, códigos de propriedade | Quem recebe e-mail e os serviços em que você se cadastra |
CAA | As autoridades certificadoras autorizadas a emitir para o domínio | Autoridades certificadoras, antes de emitir |
DS, DNSKEY | As chaves que assinam a zona e a impressão digital delas guardada pela zona pai | Resolvedores que validam DNSSEC |
Pedimos todos eles ao mesmo tempo a um resolvedor público, com um segundo resolvedor de reserva para qualquer pergunta que se perca. A política DMARC também é consultada. Ela é um registro TXT, mas mora num nome próprio, _dmarc.example.com, então uma consulta TXT simples no domínio nunca a mostra.
Os valores TXT são comparados com formatos conhecidos. Um valor que começa com v=spf1 é rotulado como SPF, google-site-verification= ou MS= como prova de propriedade para o Google ou o Microsoft 365, e assim por diante para várias dezenas de serviços. Os hosts de e-mail e de servidores de nomes são identificados do mesmo jeito, então aspmx.l.google.com aparece como Google Workspace / Gmail.
O que a coluna TTL diz
Todo registro traz um tempo de vida (TTL), em segundos. É quanto tempo um resolvedor pode guardar a resposta antes de perguntar de novo, então é também o tempo máximo durante o qual um visitante pode continuar recebendo o valor antigo depois que você muda o registro. Um TTL de 3600 significa até uma hora de espera, e 300 significa cinco minutos.
Um resolvedor que já tem o registro informa o tempo restante, não o valor que você configurou, então perguntar duas vezes pode dar 3600 e depois 2954. Para poupar você dessa confusão, esta consulta pede os TTLs a um dos próprios servidores de nomes da zona sempre que pode, e a nota abaixo dos resultados diz qual fonte foi usada.
Duas situações recebem uma menção, só a título de informação: um TTL abaixo de 60 segundos, e um TTL acima de um dia em qualquer registro que não seja NS. Nenhuma das duas é erro. Valores muito curtos são normais em provedores que movem o tráfego entre data centers pelo DNS. Valores muito longos só atrapalham no dia em que você precisa mudar.
Os conflitos que ela aponta
- Mais de um registro SPF
- Um domínio só pode publicar um registro TXT que comece com
v=spf1. Com dois, quem recebe devolve um erro permanente e o SPF falha para todas as mensagens. Junte os dois num só, comov=spf1 include:_spf.google.com include:sendgrid.net ~all. - Um CNAME ao lado de outros registros
- Um alias substitui o nome inteiro, então não pode dividi-lo com MX, TXT nem nada mais. Isso costuma acontecer no topo de um domínio, onde os registros NS e SOA precisam existir. Use registros A e AAAA ali, ou o recurso “ALIAS”, “ANAME” ou “CNAME flattening” do seu provedor de DNS.
- Nenhum registro de endereço
- Sem A nem AAAA, nada consegue se conectar ao nome. Isso é esperado para um nome que só tem registros de e-mail ou de verificação. Para um site, é um problema.
- Um único servidor de nomes, ou chaves DNSSEC sem registro DS
- Com um só servidor de nomes, o site e o e-mail dependem de uma única máquina continuar no ar. Chaves sem registro DS no registrador significam que a zona está assinada, mas ninguém confere as assinaturas.
- Servidores de e-mail sem SPF, ou um registro DMARC no nome errado
- Os dois deixam o domínio mais fácil de falsificar. A verificação de autenticação de e-mail passa por SPF, DKIM e DMARC em detalhe.
Os resultados são o que um resolvedor público vê agora. Depois de uma mudança recente, outros resolvedores ainda podem ter o valor anterior, e você pode compará-los com a verificação de propagação DNS. Registros em nomes que você não digitou, como chaves DKIM em selector._domainkey ou registros SRV, não aparecem, porque o DNS não oferece nenhum jeito de pedir a um domínio todos os nomes dele.
Perguntas frequentes
Como vejo todos os registros DNS de um domínio?
Você pede cada tipo de registro, um por vez, que é o que esta página faz para os tipos comuns. Nenhuma consulta do tipo “me dê tudo” funciona de forma confiável. Hoje a maioria dos servidores recusa o tipo ANY ou responde só em parte, e os registros de subdomínios só aparecem se você consultar esses subdomínios pelo nome.
Qual é a diferença entre um registro A e um CNAME?
Um registro A dá um endereço IP diretamente. Um CNAME dá outro nome, e o resolvedor vai consultar esse nome no lugar. Use um CNAME quando um provedor pedir para você apontar para um dos hostnames dele, assim ele pode trocar o endereço sem incomodar você. Um nome com CNAME não pode ter nenhum outro registro.
Quanto tempo leva para uma mudança de DNS aparecer?
No máximo o TTL que o registro tinha antes da sua edição, mais os poucos segundos que o seu provedor de DNS leva para publicar. Se o TTL antigo era de uma hora, alguns visitantes ficam com o valor antigo por até uma hora. Trocar os servidores de nomes no registrador segue o TTL da zona pai, muitas vezes um ou dois dias.
Por que meu domínio tem tantos registros TXT?
Cada serviço online que você conecta, de plataformas de e-mail a ferramentas de análise e de assinatura de documentos, pede que você acrescente um código TXT para provar que o domínio é seu. Eles se acumulam, e a maioria pode ser apagada depois que o serviço fez a verificação ou quando você para de usá-lo. Mantenha o registro SPF e consulte a documentação do serviço antes de remover um código que ele talvez verifique de novo.
O que “nenhum registro MX” significa para o meu e-mail?
Nenhum servidor está designado para receber e-mail para o domínio. Os remetentes então tentam o endereço do registro A, que geralmente é um servidor web que não aceita e-mail, e a mensagem volta. Se o domínio nunca deve receber e-mail, publique um “null MX” (0 .) para que os remetentes desistam na hora.
Posso consultar um subdomínio?
Sim. Digite o hostname completo, por exemplo shop.example.com. Um subdomínio normalmente não tem registro NS nem SOA próprio. Os servidores de nomes da zona acima dele respondem por ele, e o resultado indica essa zona.