O que é DNS e como ele realmente funciona?

Todo dispositivo na internet pode ser alcançado por um endereço numérico, o endereço IP. Ninguém quer decorar 172.64.80.1, então usamos nomes: example.com. O DNS, o Sistema de Nomes de Domínio, é o serviço de diretório que traduz o nome que você digita no endereço de que o computador realmente precisa. É fácil não dar atenção a ele justamente porque funciona de forma tão confiável, em segundo plano, em quase toda requisição de rede que você faz.

A consulta, passo a passo

Quando você visita um domínio pela primeira vez, o seu dispositivo ainda não conhece o endereço IP dele. Ele pede a um resolvedor, normalmente operado pelo seu provedor de internet ou por um provedor público como a Cloudflare ou o Google, que descubra. Esse resolvedor também não necessariamente sabe a resposta, então percorre uma cadeia de autoridade:

1. Um servidor raiz o aponta para os servidores responsáveis pelo domínio de nível superior (.com, .org, .io e assim por diante).
2. O servidor de TLD o aponta para os servidores de nomes autoritativos do domínio específico, os servidores que o dono do domínio de fato configurou.
3. O servidor de nomes autoritativo retorna o registro em si: o endereço IP (ou os endereços) para o qual o domínio aponta no momento.

Toda essa cadeia costuma ser concluída em bem menos de um segundo, e o resultado é guardado em cache depois, para que não precise ser repetido a cada requisição; mais sobre isso na seção de TTL abaixo.

Um rastreamento concreto, do início ao fim

Digamos que um resolvedor com o cache vazio receba o pedido de resolver blog.example.com. Primeiro ele pergunta a um servidor raiz, que não sabe a resposta, mas sabe quem cuida do .com, e o aponta para lá. O servidor de TLD do .com também não sabe a resposta final, mas sabe para quais servidores de nomes o próprio example.com delega (ns1.dnshost.com e ns2.dnshost.com, por exemplo), e aponta o resolvedor para eles. Só então o resolvedor pergunta a um servidor que de fato guarda os registros de example.com, e esse servidor, o autoritativo, responde com a resposta real: um registro A ou um CNAME a ser seguido por mais um salto. Cada etapa dessa cadeia é, em si, uma consulta DNS, e é por isso que a primeira consulta (a “fria”) de um domínio é visivelmente mais lenta do que todas as seguintes, depois que as respostas intermediárias estão em cache.

O cache acontece em mais camadas do que só o resolvedor

O resolvedor recursivo não é o único lugar onde uma resposta fica em cache. A maioria dos sistemas operacionais mantém o próprio cache de DNS de curta duração, e alguns navegadores mantêm outro separado por cima. Esse é um segundo motivo comum para duas consultas do “mesmo” domínio parecerem discordar: nem sempre é um resolvedor diferente dando uma resposta diferente; às vezes é a sua própria máquina servindo uma cópia local um pouco desatualizada, enquanto uma consulta direta e nova já mostraria a atual.

Os tipos de registro que você realmente vai encontrar

“Registro DNS” não é uma coisa só: um domínio guarda vários tipos de registro diferentes lado a lado, cada um respondendo a um tipo de pergunta. Uma consulta pelo endereço IP de um domínio só toca em dois deles; os demais existem para finalidades totalmente distintas.

Por que isso importa mesmo que você nunca mexa nos registros DNS

Entender esse fluxo dá sentido a muitos comportamentos que, de outra forma, seriam confusos: por que uma mudança de DNS não entra em vigor na hora, por que um domínio pode resolver bem em uma rede e falhar em outra e por que “o site está fora do ar” às vezes acaba sendo um problema de DNS, e não de servidor. Ferramentas como esta vão direto à última etapa, consultando diretamente um resolvedor público bem próximo da fonte autoritativa e mostrando exatamente o que ele retorna, para que você veja o estado atual real do DNS de um domínio sem adivinhar.

Isso também explica por que “DNS” e “a internet” são tantas vezes confundidos em diagnósticos informais. O DNS não transporta o seu tráfego, não hospeda o seu conteúdo nem executa a sua aplicação: ele responde a uma única pergunta, “para que endereço este nome aponta agora”. Tudo o que acontece depois (a conexão em si, o carregamento da página, a resposta da API) é um sistema totalmente separado, e é exatamente por isso que vale a pena isolar o DNS como uma etapa própria, que pode ser verificada de forma independente, antes de presumir um problema muito maior.