Como funciona a delegação de DNS: registrador e provedor

A delegação de DNS é o modo como a autoridade sobre parte da hierarquia de nomes do DNS é atribuída a outro conjunto de servidores de nomes. Um registrador de domínios geralmente controla a delegação de servidores de nomes enviada ao registro, enquanto um provedor de hospedagem de DNS serve os registros da zona referenciada por essa delegação. São responsabilidades relacionadas, mas separadas. O registrador não necessariamente hospeda os registros A, MX ou TXT, e o provedor de DNS não consegue alterar a delegação no pai, a menos que também gerencie as configurações do lado do registrador. Quando os registros alterados em um painel não aparecem publicamente, uma delegação incorreta ou inesperada é uma das primeiras coisas a verificar.

Siga a autoridade do pai até o filho

Um resolvedor recursivo começa com as informações confiáveis da raiz e segue as indicações (referrals) pela hierarquia do DNS. A raiz aponta para um domínio de nível superior, como .com; o TLD aponta para os servidores de nomes autoritativos do domínio; esses servidores fornecem os registros do domínio ou outras delegações. Cada indicação identifica quem é o responsável pela parte seguinte. A delegação permite que milhões de zonas gerenciadas separadamente coexistam sem exigir que um único servidor global guarde todos os registros. Ela também significa que um erro em uma das passagens pode tornar inacessível uma zona que, de resto, está correta.

1. Crie e preencha a zona de destino no provedor de DNS escolhido.
2. Confirme os nomes de host dos servidores de nomes autoritativos atribuídos pelo provedor.
3. Defina a delegação do domínio no registrador ou no plano de controle do pai.
4. Verifique as respostas públicas de NS e consulte diretamente os servidores autoritativos.
5. Confira os registros principais do site, do e-mail e de verificação depois da virada.

Quando um servidor de nomes delegado fica dentro do domínio que ele atende, podem ser necessários registros glue no pai para que os resolvedores encontrem o IP do servidor sem precisar perguntar a esse mesmo servidor. Os provedores e registradores costumam orientar os clientes nessa configuração, mas quem opera servidores de nomes próprios precisa entender a dependência. Um erro de digitação, a falta de glue ou uma delegação inconsistente podem causar timeouts ou falhas mesmo com o servidor DNS em execução. Os nomes de host padrão fornecidos por provedores gerenciados costumam evitar que os clientes tenham de cuidar desse detalhe de baixo nível.

Por que o provedor errado pode parecer correto

Um painel de DNS pode exibir uma zona completa mesmo que aquele provedor não seja autoritativo para o domínio público. Talvez o domínio ainda esteja delegado a um host anterior, a atualização no registrador não tenha sido concluída ou um subdomínio esteja delegado separadamente. Nesses casos, editar a zona inativa não muda nada do que os resolvedores públicos comuns enxergam. Verifique os registros NS fora do painel do provedor e compare-os com os servidores de nomes atribuídos à zona. Se um subdomínio tem a própria delegação de NS, os registros desse ramo podem ser gerenciados de forma independente do pai.

Durante uma migração de provedor, mantenha a zona antiga disponível enquanto a delegação e os caches fazem a transição. Reduzir os TTLs dos registros com antecedência só ajuda depois que o TTL antigo teve tempo de expirar. Copie os registros de e-mail, de validação e de subdomínios, e não apenas o endereço do site. Quando a delegação mudar, consulte os novos servidores autoritativos e compare as respostas com a zona preparada. Uma migração está concluída quando os nomes esperados resolvem corretamente a partir da autoridade pretendida e os serviços dependentes foram testados, e não apenas quando um formulário do registrador informa sucesso.

Para ler mais, veja o que é um registro NS, servidores de nomes e delegação de domínios e como verificar uma migração de DNS. Uma consulta DNS pública mostra as respostas visíveis a um resolvedor, enquanto uma consulta autoritativa ajuda a verificar a própria zona. Separar a delegação no registrador da hospedagem dos registros é a chave para diagnosticar onde uma mudança de DNS realmente precisa ser feita.

Prepare uma passagem de delegação bem definida

Para uma passagem de delegação sem sobressaltos, identifique a data e a hora exatas em que a mudança no registrador será enviada, quem pode revertê-la e quais verificações nos resolvedores confirmarão a conclusão. Mantenha um contato com autoridade nos provedores de DNS antigo e novo durante a transição. Se o domínio usa servidores de nomes personalizados ou zonas filhas delegadas, inclua essas dependências no runbook. Uma atualização bem-sucedida no registrador não prova que o nome de host de cada servidor de nomes resolve nem que todos os registros de serviço foram copiados. Verifique os dados de NS, respostas representativas de A e AAAA, os destinos de MX e as políticas críticas em TXT de fora da conta. Isso dá à equipe uma lista de verificação que cobre a autoridade e os serviços que dependem da zona delegada. Depois da transição, remova o provedor antigo somente quando a equipe tiver confirmado que a nova autoridade está servindo todos os registros esperados e que a janela de rollback foi encerrada. Guarde a data, os valores de delegação e os resultados da verificação no ticket da mudança, para que um futuro administrador entenda qual serviço de DNS é o dono do domínio.