# Quão bem os principais projetos cripto protegem seus domínios em 2026? > Verificamos os domínios oficiais dos 50 maiores projetos cripto: 40% assinam o DNS com DNSSEC, 30% publicam CAA, 10% mostram as assinaturas de um registry lock. - URL: https://wardmint.com/pt/data/crypto-project-dns-security-2026/ - Última atualização: 2026-11-12 - Editor: Wardmint (https://wardmint.com) Lemos o DNS público e o status de registro dos domínios oficiais dos 50 maiores projetos cripto: DNSSEC, registros CAA, SPF, DMARC, bloqueio do registrador e os três bloqueios de servidor que um registry lock define. Resultados agregados, método e limites. **Resposta rápida — Quão bem os principais projetos cripto protegem seus domínios em 2026?** Dos domínios oficiais dos 50 maiores projetos cripto em 12 de novembro de 2026, 20 estavam assinados com DNSSEC (40%), 15 publicavam registros CAA (30%) e 5 mostravam os bloqueios de servidor de um registry lock (10%). Apenas 3 combinavam tudo isso com uma política DMARC que bloqueia falsificação. **Wardmint** leu o DNS público e o RDAP. ## Resultados dos 50 domínios oficiais *Domínios oficiais dos 50 maiores projetos cripto por capitalização de mercado (CoinGecko, 12 de novembro de 2026), os mesmos domínios da nossa auditoria de domínios semelhantes. Todas as consultas tiveram resposta (0 desconhecidas).* | Protection | Domínios | Participação | O que impede | | --- | --- | --- | --- | | Bloqueio do registrador (clientTransferProhibited) | 47 de 50 | 94% | Uma transferência iniciada sem o titular | | DMARC p=reject | 28 de 50 | 56% | E-mail falsificado do domínio é recusado | | DMARC p=quarantine | 16 de 50 | 32% | E-mail falsificado vai para o spam | | Sem registro DMARC ou p=none | 6 de 50 | 12% | Nada: o e-mail falsificado é entregue | | SPF terminando em -all | 29 de 50 | 58% | E-mail de servidores não listados deve ser rejeitado | | DNSSEC (registro DS na zona-pai) | 20 de 50 | 40% | Respostas de DNS forjadas, como em ataques de envenenamento de cache | | Registros CAA | 15 de 50 | 30% | Certificados emitidos por uma autoridade não listada | | Assinaturas de registry lock (três bloqueios de servidor) | 5 de 50 | 10% | Alterações feitas por meio de uma conta de registrador comprometida | | Todos os quatro: DNSSEC, CAA, assinaturas de registry lock, DMARC aplicado | 3 de 50 | 6% | | *Verificado pela última vez em 12 de novembro de 2026; números mais antigos trazem a própria data.* ## O que o estudo encontrou? **O bloqueio básico é quase universal; as proteções que impedem um sequestro, não.** 47 dos 50 domínios têm bloqueio de transferência do registrador, a configuração que a maioria dos registradores ativa por padrão. Ele impede uma transferência, mas não impede quem entra na conta do registrador e altera os servidores de nomes, que foi a forma como a maioria dos ataques documentados a front ends cripto funcionou. As defesas para esse caso são mais raras. O registry lock, que faz o próprio registro recusar alterações até que uma pessoa as confirme por um canal externo, aparece em 5 domínios. O DNSSEC, que permite aos resolvedores rejeitar respostas forjadas, está em 20. O CAA, que limita quem pode emitir certificado para o nome, está em 15. A [comparação entre registry lock e bloqueio do registrador](https://wardmint.com/pt/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock") explica a diferença, e o [guia de DNSSEC](https://wardmint.com/pt/guides/enable-dnssec/ "How to enable DNSSEC") mostra os passos. O e-mail vai melhor: 44 dos 50 recusam ou colocam em quarentena e-mails falsificados com DMARC. Os outros 6 não publicam registro DMARC ou ficam em p=none, então qualquer pessoa ainda pode enviar e-mail que pareça vir do projeto. ## Como o estudo foi feito? **Usamos os 50 domínios oficiais da nossa auditoria de domínios semelhantes, tirados dos maiores projetos cripto por capitalização de mercado em 12 de novembro de 2026.** Para cada domínio, pedimos ao resolvedor DNS público da Cloudflare, por DNS-over-HTTPS, o registro DS (o DNSSEC é contado quando a zona-pai tem um), os registros CAA, os registros TXT (SPF) e o registro TXT em _dmarc (a política DMARC pela tag p). Depois lemos o registro RDAP do domínio no seu registro. Um bloqueio do registrador conta quando a lista de status contém clientTransferProhibited. As assinaturas de registry lock contam quando aparecem juntos serverTransferProhibited, serverUpdateProhibited e serverDeleteProhibited: são os bloqueios que um serviço de registry lock define, embora um registro também possa defini-los por outros motivos; por isso os chamamos de assinaturas, não de prova. Todas as 250 consultas DNS e as 50 consultas RDAP tiveram resposta. O script e as respostas por domínio são guardados com o estudo; publicamos apenas totais. ## O que os números não dizem **A ausência de um registro não é uma violação, e a presença de um não é garantia.** Alguns projetos servem o app a partir de outro domínio ou o protegem em seu CDN; o DNSSEC também exige um registrador e um host de DNS que o suportem. O registry lock não é oferecido para todas as extensões, e um registro pode aplicar bloqueios de servidor por motivos diferentes de um bloqueio pago. O estudo é um retrato de um dia e de um domínio por projeto. ## O que um projeto pode fazer com estes resultados **Comece pelas quatro configurações que a maioria dos projetos entre os 50 maiores ainda não tem: registry lock onde a extensão o oferece, DNSSEC, CAA e DMARC em p=reject em todos os domínios, inclusive os não usados.** Segundo a pesquisa da Wardmint de 12 de novembro de 2026, apenas 3 dos 50 maiores projetos cripto combinavam as quatro no seu domínio principal. Nossa [checklist de segurança de domínio para projetos cripto](https://wardmint.com/pt/crypto-project-domain-security-checklist/ "Domain security checklist for a crypto project") as coloca em ordem, junto com as configurações de conta ao redor. No mesmo dia, nossa [auditoria de domínios semelhantes](https://wardmint.com/pt/data/crypto-project-defensive-domain-audit-2026/ "How many look-alike domains of the top crypto projects can anyone register?") encontrou 29.6% das variantes óbvias dos nomes desses projetos livres para registro. Na Wardmint, DNSSEC e CAA são gerenciados em cada domínio, e um .com custa US$ 12,49/ano. ## Perguntas sobre o estudo ### Quantos dos maiores projetos cripto usam DNSSEC? 20 dos domínios oficiais dos 50 maiores projetos tinham um registro DS na zona-pai em 12 de novembro de 2026, então 40% estavam assinados com DNSSEC. ### Quantos usam registry lock? 5 de 50 mostravam os três bloqueios de servidor que um registry lock define. Chamamos isso de assinaturas: um registro também pode definir esses bloqueios por outros motivos. ### Um bloqueio do registrador basta? Não. Ele bloqueia transferências, mas não impede a troca de servidores de nomes por quem controla a conta do registrador, que foi o que aconteceu na maioria dos sequestros de front ends cripto. ### Por que os nomes dos projetos não aparecem? Uma lista de quais projetos não têm qual proteção ajudaria um atacante a escolher um alvo. Cada projeto pode verificar o próprio domínio com as mesmas consultas públicas. ### O estudo será repetido? Sim, a cada trimestre, com o mesmo script, para que os números formem uma série datada; cada atualização é registrada em nossa página de atualizações. **Em resumo** - Domínios oficiais dos 50 maiores projetos cripto; DNS público e RDAP lidos em 12 de novembro de 2026. - Bloqueio do registrador 94%, DMARC aplicado 88% (p=reject 56%), SPF com falha forte 58%. - DNSSEC 40%, CAA 30%, assinaturas de registry lock 10%. - Apenas 3 de 50 combinam DNSSEC, CAA, assinaturas de registry lock e uma política DMARC aplicada. - Somente totais; nenhuma lista por projeto é publicada. ## Fontes e método 1. [Coins list by market capitalisation (API /coins/markets)](https://www.coingecko.com/en/api) — CoinGecko (lido em 2026-11-12) 2. [DNS over HTTPS, JSON API](https://developers.cloudflare.com/1.1.1.1/encryption/dns-over-https/make-api-requests/dns-json/) — Cloudflare (used 2026-11-12) 3. [Bootstrap service registry for domain name space (RDAP)](https://data.iana.org/rdap/dns.json) — IANA (lido em 2026-11-12) 4. [Códigos de status EPP: o que significam](https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en) — ICANN (lido em 2026-11-12) 5. [RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record](https://www.rfc-editor.org/rfc/rfc8659) — IETF (lido em 2026-11-12) --- Wardmint: A Wardmint registra os domínios defensivos de que um projeto cripto precisa — o nome do próprio projeto nas extensões que os golpistas usam, suas próprias variantes com erros de digitação e parecidas — pagos em cripto e sem KYC: sem documento de identidade, apenas um e-mail verificado por domínio. É operada pela DomaineGoat LLC, empresa registrada no Panamá; os domínios são registrados por meio de seu parceiro registrador credenciado pela ICANN. Um .com custa US$ 12,49/ano, o mesmo preço todos os anos.