Como configurar um health check de DNS agendado

Uma consulta DNS isolada mostra o estado atual. Uma consulta agendada e recorrente mostra se esse estado está mudando, e uma mudança, em um domínio que você não espera alterar, costuma ser justamente algo que vale saber logo, em vez de descobrir semanas depois.

Decidindo o que incluir

Comece por tudo em que uma mudança não percebida realmente importaria: domínios de produção e seus principais subdomínios, domínios ligados à entregabilidade de e-mail e qualquer coisa em uma lista de observação de segurança. Há pouco valor em agendar uma verificação para um domínio cuja mudança ninguém tomaria providências: o objetivo é um sinal ao qual você de fato responderá, e não um log completo que ninguém lê.

Escolhendo a frequência

O que fazer com os resultados

A tarefa em si é só metade do valor; a outra metade é o que acontece quando os resultados de uma execução diferem dos da anterior. No mínimo, guarde histórico suficiente para comparar execuções consecutivas (esta ferramenta mantém o histórico de execuções das tarefas por uma janela de retenção configurável justamente por esse motivo). Exportar os resultados de cada execução em CSV ou JSON facilita a comparação programática, em vez de depender de alguém notar uma mudança a olho nu em um painel que pode ou não ser consultado naquele dia.

Quando o agendamento está funcionando de forma confiável, o efeito prático é transformar o monitoramento de DNS de uma tarefa manual ocasional em um processo em segundo plano, que só exige atenção quando há realmente algo para ver, e esse é exatamente o objetivo.

Projetando o alerta, e não só a verificação

Uma verificação agendada que notifica a cada execução, até mesmo nas que não encontraram nada de novo, ensina as pessoas a ignorá-la em questão de duas semanas, o que anula todo o propósito. O sinal útil é a mudança em si: os endereços resolvidos desta execução diferem dos da última, um domínio passou de resolver para falhar (ou o contrário) ou um novo endereço surgiu em uma faixa que não deveria ser alcançável. Construir a notificação em torno de “o que mudou desde a última vez”, e não de “aqui está o resultado de hoje”, é o que mantém o alerta digno de ser aberto meses depois, em vez de virar mais um marcador não lido na caixa de entrada.

O que acontece quando a própria verificação falha

Uma tarefa agendada precisa de um plano para a própria falha, e não apenas para o que ela encontra. Se a tarefa não consegue nem rodar (uma fila acumulando, um processo worker travando, a infraestrutura de que ela depende saindo do ar), esse é um sinal distinto e de prioridade maior do que o resultado de qualquer domínio individual, porque significa que a rede de segurança ficou em silêncio sem que ninguém necessariamente perceba. Uma verificação simples e separada de “a tarefa chegou a rodar dentro da janela esperada”, com alerta caso uma execução esteja atrasada, fecha essa lacuna; do contrário, um sistema de monitoramento que para de monitorar em silêncio é, discutivelmente, pior do que não ter monitoramento algum, pois cria a falsa confiança de que tudo continua sendo observado.