Relatório de saúde do domínio
Um nome de domínio é alugado, delegado e às vezes assinado, e qualquer uma dessas camadas pode falhar sem avisar as outras. Este relatório passa por todas elas e lista o que precisa de atenção, do mais urgente para o menos.
Três partes por trás de um só nome
Você nunca é dono de um domínio. Você o aluga por ano, e são precisas três partes diferentes para mantê-lo vivo.
- O registro (registry)
- O operador da terminação: a Verisign para
.com, a Nominet para.uk, a DENIC para.de. Ele guarda a lista oficial de quem aluga qual nome e até quando. - O registrador
- A loja onde você paga: Namecheap, GoDaddy, Gandi, Cloudflare. Ele escreve os seus dados no registro em seu nome.
- O provedor de DNS
- A empresa que opera os seus servidores de nomes, as máquinas que respondem “qual é o endereço deste nome?”. Muitas vezes é o próprio registrador, mas não precisa ser.
Quando o aluguel vence, ou os servidores de nomes param de responder, o site e todas as caixas de e-mail do domínio somem juntos. Nada mudou no seu servidor web, então, visto de dentro, esse tipo de queda é desconcertante.
O que o relatório testa
Se você digitar um subdomínio, o relatório sobe até o domínio registrado, porque a renovação e a delegação acontecem nesse nível.
| Camada | Como é lida | Sinalizada quando |
|---|---|---|
| Expiração | O registro RDAP do operador, o sucessor estruturado do WHOIS | Vermelho com menos de 30 dias ou já expirado, âmbar com menos de 60 dias |
| Bloqueio de transferência | Os códigos de status no mesmo registro | Nenhum status transfer prohibited está presente |
| Servidores de nomes | Cada servidor é consultado diretamente sobre o registro SOA da zona | Menos de dois servidores, um servidor em silêncio ou sem autoridade, ou números de série diferentes |
| DNSSEC | Registro DS no operador, DNSKEY na zona e uma resposta validada pelo resolvedor público 1.1.1.1 | Existe um DS, mas a zona não está assinada ou falha na validação |
| Básico | CAA, MX, A, AAAA e o nome www | Sem MX, sem registro A, ou www não resolve |
A falta de um registro CAA ou AAAA aparece como opcional, não como defeito. O mesmo vale para um DNSSEC que está simplesmente desligado.
Como ler a linha do DNSSEC
O DNSSEC acrescenta assinaturas às respostas DNS para que um resolvedor possa provar que ninguém as alterou no caminho. Ele funciona em par. A zona publica as suas chaves públicas (DNSKEY) e o registro publica a impressão digital de uma delas (DS). Um resolvedor confere uma com a outra.
- Desligado: nenhum DS no registro. O domínio funciona exatamente como a maior parte da internet.
- Ligado e válido: DS e chaves batem, e o 1.1.1.1 marca a resposta como autenticada.
- Quebrado ou Inválido: o registro ainda anuncia uma impressão digital, mas a zona não está assinada ou está assinada com outra chave. Os resolvedores que validam, como o Google Public DNS, a Cloudflare e o Quad9, então devolvem
SERVFAIL, e para os usuários deles o domínio simplesmente não existe.
Esse último estado quase sempre vem depois de uma mudança de provedor de DNS em que o DS antigo ficou esquecido no registrador. DNSSEC ativado pela metade é pior do que nenhum, então trate isso como uma queda.
Corrigindo o que aparecer
- Expiração próxima. Renove agora, ative a renovação automática e depois confira se o cartão cadastrado e o e-mail de contato ainda funcionam. A maioria dos domínios perdidos teve o aviso de renovação enviado para uma caixa que ninguém lê mais.
- Sem bloqueio. Procure “Transfer lock”, “Domain lock” ou “Registrar lock” no painel do registrador. Isso define
clientTransferProhibitede não custa nada. - Um servidor de nomes em silêncio. Se ele pertence a um provedor anterior, tire-o da lista no registrador. Os resolvedores escolhem entre os servidores listados, então uma entrada morta deixa uma parte das consultas lenta ou com falha.
- Números de série fora de sincronia. Uma diferença de alguns minutos depois de uma edição é normal. Se durar uma hora, o servidor secundário parou de copiar a zona e é hora de falar com o provedor de DNS. Um domínio dividido de propósito entre dois provedores de DNS mostra dois números de série o tempo todo, e isso é esperado.
- DNSSEC quebrado. Ou apague o registro DS no registrador, ou assine a zona no novo provedor de DNS e cole os valores DS dele. Não deixe a impressão digital antiga no lugar.
- Nenhum e-mail desejado. Um domínio que não deve receber nada pode dizer isso com um MX nulo:
example.com. MX 0 .
Alguns registros, principalmente os de códigos de país, não publicam registro RDAP ou omitem a data de expiração. O relatório avisa quando isso acontece, e a única fonte confiável passa a ser a sua conta no registrador. Ele também não consegue ver se a renovação automática está ativada nem quem consegue entrar nessa conta.
Perguntas frequentes
Como verificar quando um domínio expira?
Gere o relatório. A data de expiração vem direto do registro RDAP do operador. Se o operador não a publica, você encontra a data na sua conta do registrador, nos detalhes do domínio.
O que acontece quando um domínio expira?
Primeiro o registrador aponta o nome para uma página de estacionamento, então o site e o e-mail param. Na maioria das terminações, vem em seguida um período de carência de várias semanas para renovar pelo preço normal, seguido de um período de resgate com uma taxa alta. Depois disso o nome é liberado e qualquer um pode registrá-lo.
Eu preciso de DNSSEC?
É opcional. Ele protege os visitantes contra respostas DNS forjadas, e muitos provedores de DNS o ativam com um único botão. Só ative se você for se lembrar de atualizar o registro DS sempre que trocar de provedor de DNS.
O que é um registro CAA e ele é obrigatório?
Um registro CAA indica as autoridades certificadoras autorizadas a emitir certificados para o seu domínio, por exemplo 0 issue "letsencrypt.org". Ele não é obrigatório. Sem ele, qualquer autoridade pode emitir.
Quantos servidores de nomes um domínio deve ter?
Pelo menos dois, em redes diferentes. Todo provedor de DNS fornece de dois a quatro por padrão. Liste todos eles no registrador.
O que significa clientTransferProhibited?
É o bloqueio de transferência. Enquanto esse status estiver ativo, o registro recusa qualquer pedido para levar o domínio a outro registrador. Você mesmo o retira, por alguns dias, quando realmente quiser transferir.