O DNSSEC é uma extensão de segurança do DNS que assina digitalmente as respostas do seu domínio, para que ninguém consiga falsificar o endereço para onde ele aponta. Com o verificador abaixo, você confere se o DNSSEC está ativo, se a cadeia de confiança está completa e se o registro DS confere com as chaves publicadas.
No Brasil, 1.898.861 domínios .br usam DNSSEC, 31,8% do total, segundo as estatísticas de domínios .br. Quem usa os servidores DNS do Registro.br já tem o recurso ligado sem fazer nada. Nos outros casos, a ativação leva poucos passos.
Verifique o DNSSEC do seu domínio
Digite o domínio e clique em Verificar. A ferramenta consulta o DNS público do Google e da Cloudflare, que validam DNSSEC, e mostra o resultado, a cadeia de confiança da raiz até o domínio, os detalhes do registro DS e das chaves, e o que fazer em seguida.
O que é DNSSEC
Quando alguém digita o endereço do seu site, um resolvedor de DNS, como o do provedor de internet ou o DNS do Google, descobre o IP do servidor e guarda a resposta em cache. O DNS original não tem como provar de onde veio essa resposta. Um atacante que consiga colocar uma resposta falsa no cache, no ataque chamado envenenamento de cache, manda os visitantes para um site falso ou desvia os e-mails do domínio.
O DNSSEC (Domain Name System Security Extensions) resolve isso com assinaturas digitais. Quem responde pelo domínio assina os registros com uma chave privada e publica a chave pública no próprio DNS. O resolvedor confere a assinatura antes de usar a resposta e, se ela não bate, descarta a resposta.
O DNSSEC garante duas coisas: que a resposta veio de quem responde pelo domínio e que ela não foi alterada no caminho. Ele não faz o resto:
- Não criptografa as consultas. Quem está no caminho ainda vê quais domínios você consulta. Isso é papel do DNS sobre HTTPS (DoH) e do DNS sobre TLS (DoT).
- Não substitui o certificado SSL. O DNSSEC protege o endereço, e o certificado SSL protege a conexão com o site. Os dois se complementam.
- Não protege a conta do domínio. Quem invade a sua conta no Registro.br consegue trocar os servidores DNS e o DS. Para isso, o que vale é senha forte e autenticação em dois fatores.
Como funciona a cadeia de confiança
O DNSSEC usa quatro tipos de registro:
| Registro | Onde fica | Para que serve |
|---|---|---|
| DNSKEY | Na zona do domínio | Publica as chaves públicas da zona |
| RRSIG | Na zona do domínio | Guarda a assinatura de cada conjunto de registros |
| DS | Na zona de cima, como a com.br | Aponta para a chave do domínio e liga um elo da cadeia ao outro |
| NSEC ou NSEC3 | Na zona do domínio | Prova, com assinatura, que um nome não existe |
A validação começa pela raiz da internet, cuja chave já vem configurada nos resolvedores. A raiz assina o DS do .br, o .br assina o DS do com.br, e o com.br assina o DS do seu domínio. O DS confere com a chave publicada no DNSKEY do domínio, e essa chave assina os registros. Se um elo falha, o resolvedor recusa a resposta inteira.
Muitas zonas usam duas chaves: a KSK, que assina só o conjunto de chaves e é para onde o DS aponta, e a ZSK, que assina os demais registros. Outras usam uma chave única, a CSK, que faz as duas coisas.
A raiz também troca de chave de tempos em tempos. Em 11 de outubro de 2026, ela passou a ser assinada só com a chave KSK-2024, de tag 38696, segundo a ICANN. É a chave que aparece na primeira linha da cadeia no verificador.
O que significa cada resultado
| Resultado | O que quer dizer | O que fazer |
|---|---|---|
| DNSSEC ativo e funcionando | A cadeia está completa e os resolvedores confirmaram as assinaturas | Nada. Só tome cuidado ao trocar de servidor DNS |
| DNSSEC desativado | O domínio não tem DS nem chaves | Ativar, se quiser a proteção |
| DNSSEC pela metade | A zona está assinada, mas falta o DS | Cadastrar o DS no registro do domínio |
| DNSSEC com erro | Os resolvedores recusam as respostas | Corrigir ou remover o DS com urgência |
| DNSSEC não confirmado | Há DS e chaves, mas a validação não se completa, como acontece com algoritmos SHA-1 | Refazer as chaves com o algoritmo 13 |
| A extensão não usa DNSSEC | A extensão do domínio não é assinada | Nada a fazer no domínio |
O resultado com erro é o mais grave. Para o resolvedor que valida DNSSEC, como o do Google, o da Cloudflare e o de vários provedores de internet, a resposta vira um erro SERVFAIL: o site não abre e os e-mails não chegam. Quem usa um resolvedor que não valida continua acessando, e é por isso que o problema às vezes parece acontecer só para parte dos usuários.
Como ativar o DNSSEC
A ativação tem sempre duas partes: assinar a zona no serviço que responde pelo DNS do domínio e cadastrar o DS no registro do domínio. O caminho depende de onde fica o DNS. Para saber quais são os servidores DNS do seu domínio, consulte o registro NS no nslookup online.
Com os servidores DNS do Registro.br
Não há nada a fazer. Nos servidores DNS do próprio Registro.br, o DNSSEC é obrigatório e ativado automaticamente, segundo as perguntas sobre DNS e DNSSEC do Registro.br.
Com o DNS na hospedagem (cPanel)
Se o domínio usa os servidores DNS da hospedagem, a chave é criada no cPanel:
- No cPanel, abra o Editor de Zona e clique em DNSSEC ao lado do domínio.
- Crie a chave. Se houver a opção de escolher o algoritmo, use o 13 (ECDSA P-256 com SHA-256).
- Ative a chave e copie os dados do registro DS, principalmente o Key Tag e o Digest do tipo SHA-256.
- No painel do Registro.br, abra o domínio e clique em Alterar servidores DNS, como no tutorial de troca de DNS no Registro.br. Na mesma tela, use a opção DNSSEC para informar o Keytag e o Digest. O Registro.br confere o DS antes de publicar.
- Volte ao verificador e confira se o resultado mudou para DNSSEC ativo.
Com o DNS na Cloudflare
Na Cloudflare, o DNSSEC fica nas configurações de DNS do domínio. Ao ativar, ela assina a zona com o algoritmo 13 e mostra os dados do registro DS, conforme a documentação da Cloudflare. Copie o Keytag e o Digest para o Registro.br, como no passo 4 acima, e confira o resultado no verificador.
Domínios fora do .br
O processo é o mesmo: assinar a zona no serviço de DNS e cadastrar o DS no site onde o domínio foi registrado. Alguns registradores leem o DS sozinhos. O registro de domínios da própria Cloudflare, por exemplo, publica o DS automaticamente, o que pode levar um ou dois dias.
Cuidados para não tirar o domínio do ar
O DNSSEC protege, mas também é mais uma peça que pode quebrar. Os erros mais comuns são estes:
- Trocar de servidor DNS com o DS antigo publicado. O novo servidor não tem as chaves para onde o DS aponta, e o domínio sai do ar para quem valida. O certo é remover o DS, esperar ele sair do cache dos resolvedores, trocar os servidores DNS e só então ativar o DNSSEC no novo serviço e cadastrar o DS novo. O verificador mostra esse tempo nos detalhes do DS: no .com.br, é de uma hora, e no .com, de um dia.
- Trocar a chave sem trocar o DS. Sempre que a chave muda, o DS precisa ser atualizado. Cadastre o DS novo antes de apagar a chave antiga.
- Deixar as assinaturas vencerem. Cada assinatura tem data de validade. Os serviços que assinam a zona automaticamente renovam sozinhos, mas uma zona assinada à mão para de funcionar quando elas vencem.
- Usar algoritmos com SHA-1. A RFC 9905, de novembro de 2025, proíbe os algoritmos 5 e 7 e o DS com resumo SHA-1 em assinaturas novas. Prefira o algoritmo 13 e o DS com SHA-256.
- Usar NSEC3 com iterações. A RFC 9276 manda usar 0 iterações e recomenda não usar salt. Com valores maiores, os resolvedores podem tratar o domínio como se não tivesse DNSSEC.
Para desligar o DNSSEC, a ordem é a inversa: primeiro remova o DS no registro do domínio, espere ele sair do cache e só depois desative a assinatura no serviço de DNS.
DNSSEC vale a pena?
Para a maioria dos domínios, sim, quando o serviço de DNS cuida da assinatura sozinho, como o Registro.br, o cPanel e a Cloudflare. No Registro.br não há custo adicional, a ativação é rápida, e a proteção vale para todos os visitantes que usam resolvedores que validam. E, entre os domínios .br que usam DNSSEC, 99,93% estão com a assinatura funcionando corretamente, segundo os mesmos dados do Registro.br.
O cuidado é com as trocas: de servidor DNS, de chave e de hospedagem. Um erro nessas horas tira o domínio do ar para boa parte dos usuários, o que não aconteceria sem DNSSEC.
Em algumas categorias do Registro.br, não é escolha: o DNSSEC é obrigatório nos domínios .b.br, .bet.br, .def.br, .jus.br, .leg.br, .mp.br e .tc.br.
Registre o seu domínio na Homehost e hospede o site com cPanel, onde o DNSSEC é ativado pelo Editor de Zona.
Registrar domínioPerguntas frequentes
O que é DNSSEC?
É uma extensão de segurança do DNS que assina digitalmente as respostas de um domínio. Com ela, os resolvedores conseguem confirmar que a resposta veio de quem responde pelo domínio e que não foi alterada, o que impede o envenenamento de cache.
Como saber se o meu domínio tem DNSSEC?
Use o verificador desta página. Ele mostra se o DNSSEC está ativo, desativado, pela metade ou com erro, e confere a cadeia de confiança da raiz até o domínio. No terminal, o comando dig com a opção +dnssec mostra as assinaturas.
O DNSSEC é obrigatório para domínios .br?
Só nas categorias .b.br, .bet.br, .def.br, .jus.br, .leg.br, .mp.br e .tc.br. Nos demais domínios .br, é opcional e sem custo adicional. Quem usa os servidores DNS do Registro.br já tem o DNSSEC ativado automaticamente.
O DNSSEC substitui o certificado SSL?
Não. O DNSSEC garante que o endereço do domínio é verdadeiro, e o certificado SSL protege a conexão entre o visitante e o site. Os dois se complementam, e nenhum deles criptografa as consultas de DNS.
O que acontece se o DNSSEC der erro?
Os resolvedores que validam DNSSEC, como os do Google e da Cloudflare, recusam as respostas do domínio, e o site e os e-mails param de funcionar para quem usa esses resolvedores. A correção é atualizar o DS no registro do domínio ou, em último caso, removê-lo.
Preciso desativar o DNSSEC para trocar de hospedagem?
Só se a troca incluir os servidores DNS do domínio. Nesse caso, remova o DS no registro do domínio, espere ele sair do cache, troque os servidores DNS e ative o DNSSEC de novo no novo serviço. Se os servidores DNS continuarem os mesmos, nada muda.
Conclusão
O DNSSEC fecha uma brecha antiga do DNS: a falta de um jeito de provar de onde vem uma resposta. Com a assinatura, os resolvedores descartam respostas falsas, e o domínio fica protegido contra o envenenamento de cache. Ative pelo serviço que cuida do seu DNS, cadastre o DS no registro do domínio e use o verificador sempre que mexer em servidores DNS ou em chaves.
