Verificador de DNS: como checar registros corretamente

Um verificador de DNS é uma forma prática de inspecionar os registros que um resolvedor consegue obter, no momento, para um domínio. As pessoas o usam depois de trocar a hospedagem de um site, configurar e-mail, mudar de provedor de DNS ou investigar um nome que não resolve. O resultado é um instantâneo, não uma garantia de que todos os resolvedores recursivos já foram atualizados nem de que o serviço por trás do nome está disponível. Para que a verificação seja útil, escolha o nome de host exato, selecione o tipo de registro que corresponde ao sintoma e interprete uma resposta vazia de forma diferente de um erro de DNS. Esses três passos evitam muitos alarmes falsos e ajudam a identificar qual camada de configuração merece atenção.

Escolha o registro que responde à sua pergunta

Para o endereço IPv4 de um site, inspecione o A; para IPv6, inspecione o AAAA. Um subdomínio pode usar um CNAME para apontar para o nome de host de um provedor de hospedagem, em vez de carregar um endereço diretamente. A entrega de e-mail depende primeiro dos registros MX, enquanto os registros TXT costumam publicar dados de SPF, DKIM, DMARC e de verificação de propriedade. Os registros NS mostram quais servidores de nomes estão listados para uma zona, e o SOA traz campos administrativos e de temporização associados a ela. Por isso, verificar apenas os registros A não basta quando o problema é a entrega de e-mail, um subdomínio delegado ou uma etapa de verificação. Comece pelo serviço afetado e relacione o sintoma aos tipos de registro correspondentes.

Em seguida, confira o nome consultado com exatidão. example.com, www.example.com e api.example.com são nomes DNS distintos e podem retornar respostas completamente diferentes. O ponto final na notação DNS totalmente qualificada representa a raiz e geralmente é opcional nas interfaces de usuário. Não cole uma URL inteira, com caminho, e presuma que o verificador saberá qual nome de host importa; extraia o nome de host primeiro. Se você estiver validando um registro novo, compare o valor retornado caractere por caractere com as instruções do provedor. As políticas em TXT costumam conter pontuação, separadores ou strings longas, e um erro de digitação aparentemente pequeno pode invalidar o registro.

Entenda de onde vêm respostas diferentes

O DNS é distribuído e usa cache. Um servidor de nomes autoritativo guarda os dados publicados da zona, enquanto os resolvedores recursivos atendem os usuários e podem manter respostas anteriores em cache até o TTL expirar. Dois verificadores podem, portanto, mostrar valores diferentes por algum tempo se consultarem resolvedores, localizações ou versões do registro distintos. Um verificador que consulta um conjunto de localizações ajuda a ilustrar a variação, mas não prova que todas as redes já convergiram. Se um resultado divergir da configuração pretendida, identifique qual resolvedor respondeu e compare com os servidores de nomes autoritativos. Depois, considere o TTL e o momento em que o valor anterior foi colocado em cache antes de fazer outra alteração.

• NOERROR sem o registro solicitado pode significar que o nome existe, mas não tem dados desse tipo.
• NXDOMAIN significa que o nome consultado foi informado como inexistente.
• SERVFAIL indica que um resolvedor não conseguiu concluir a consulta com sucesso.
• Um timeout significa que nenhuma resposta chegou dentro do tempo de espera do verificador.
• Várias respostas A ou AAAA podem ser intencionais, para redundância ou distribuição de tráfego.

Transforme a verificação de DNS em uma etapa segura de diagnóstico

Mantenha um registro de antes e depois ao alterar o DNS. Anote o nome, o tipo, o valor, o TTL, o resolvedor e o horário, e repita a mesma consulta após a atualização. Se o servidor autoritativo retornar o novo valor, mas um resolvedor recursivo ainda retornar o antigo, esperar os caches expirarem pode ser a atitude certa; alterar o registro repetidamente pode dificultar o diagnóstico. Se os servidores autoritativos divergirem entre si, investigue a replicação da zona ou a configuração do provedor. Se todas as respostas de DNS parecerem corretas, mas o site ainda falhar, passe para a conectividade, o TLS, o roteamento ou a saúde da aplicação, em vez de continuar mudando o DNS às cegas.

Por fim, trate a resposta de acordo com o seu alcance. As verificações de DNS públicas servem para domínios e registros destinados a ficar visíveis na internet pública; não são um método para examinar o namespace exclusivamente interno de uma organização. Um IP retornado pelo DNS pode ser um ponto de presença de uma CDN, um balanceador de carga ou um proxy reverso, e não a máquina que hospeda a aplicação. Se você precisa apenas das respostas de endereço público, a consulta de domínio para IP é um próximo passo mais direto. Para ver a terminologia e exemplos de A, AAAA, MX, TXT e NS, consulte tipos de registro DNS explicados.

Leia o relatório de um verificador com ceticismo saudável

Um verificador de DNS pode exibir um indicador verde ao receber qualquer resposta, mesmo que o valor retornado não seja o que o seu serviço exige. Leia o proprietário, o tipo e os dados brutos em vez de confiar apenas em um selo-resumo. Uma resposta vinda de uma única localização também é uma amostra, não uma garantia de concordância global. Se a ferramenta listar muitas localizações, lembre-se de que cada uma pode representar um resolvedor e um estado de cache específicos, e não todos os usuários daquela região. Use o relatório para escolher a próxima etapa do diagnóstico: comparar com a fonte autoritativa, inspecionar o TTL ou testar o serviço. Evite copiar um IP para a configuração de produção sem confirmar que ele é o endpoint oficialmente indicado pelo provedor. Um bom diagnóstico se baseia em um valor esperado e em um motivo para essa expectativa, e não apenas no fato de um verificador chamar o resultado de “válido”.