Resposta rápida
Como ativar o DNSSEC no seu domínio?
Ative o DNSSEC em duas partes: assine a zona no seu provedor de DNS, o que produz um registro DS, e depois publique esse registro DS no registrador. O DNS gratuito da Wardmint inclui DNSSEC gerenciado sem taxa adicional, onde quer que o registro da extensão aceite registros DS. O DNSSEC detecta respostas falsificadas, mas não protege uma conta que foi tomada.
Os quatro registros DNSSEC e quem os publica
| Registro | O que contém | Onde fica | Quem o publica |
|---|---|---|---|
| DNSKEY | A chave pública que valida suas assinaturas | Na sua zona | Seu provedor de DNS |
| RRSIG | Uma assinatura sobre cada conjunto de registros | Na sua zona, ao lado dos registros | Seu provedor de DNS |
| DS | Uma impressão digital da sua chave de assinatura de chaves | Na zona superior, como .com | O registro, a partir de dados que o registrador envia |
| CDS e CDNSKEY | Seu desejo de adicionar ou alterar o registro DS | Na sua zona | Seu provedor de DNS, onde o registro os lê (RFC 7344) |
O que o DNSSEC faz por um projeto cripto?
O DNSSEC acrescenta uma assinatura digital às respostas de DNS para que um resolvedor possa rejeitar dados que alguém falsificou. É um conjunto de protocolos, definidos na RFC 4033, na RFC 4034 e na RFC 4035 e atualizados pela RFC 6840, e a IETF o chama de melhor prática atual para autenticação de origem de dados de DNS na RFC 9364.
Para um projeto, isso fecha um caminho de ataque. Um atacante que adultera respostas entre o resolvedor de um usuário e seus servidores de nomes não consegue produzir assinaturas válidas, então um resolvedor que valida devolve um erro em vez do endereço do atacante. O usuário não é levado a lugar nenhum, em vez de a um drenador.
O limite importa tanto quanto o benefício. O DNSSEC não detém uma pessoa que entra no seu registrador, porque essa pessoa pode alterar seus servidores de nomes ou substituir o registro DS. Os sequestros da Curve Finance em 2022 e 2025 e da Galxe em 2023 foram descritos como do lado do registrador ou da conta, e é por isso que como proteger seu domínio contra sequestro de DNS começa pela conta e trata o DNSSEC como uma camada.
Como funciona a cadeia de confiança?
A cadeia de confiança liga sua zona à raiz por meio de registros DS, um nível superior de cada vez. A zona raiz atesta o .com, o .com atesta o seu domínio por meio do registro DS, e a sua zona atesta seus próprios registros com assinaturas RRSIG.
Sua zona tem dois tipos de chave. A chave de assinatura de zona assina os conjuntos de registros; a chave de assinatura de chaves assina o conjunto de chaves e é a que o registro DS aponta. Um registro DS contém um key tag, um número de algoritmo, um tipo de digest e um digest da chave de assinatura de chaves. Se o registro DS no registro não corresponder a uma chave da sua zona, os resolvedores que validam tratam o domínio como quebrado e devolvem SERVFAIL.
Essa é a falha mais comum do DNSSEC, e ela prejudica a disponibilidade, não a segurança: o site fica fora do ar para os usuários atrás de resolvedores que validam. A ordem importa, e por isso as etapas abaixo publicam primeiro a zona assinada e depois o registro DS.
Qual configuração de DNS você tem?
O seu caminho depende de quem serve a zona: o DNS da Wardmint ou um provedor externo. A hospedagem de DNS gratuita da Wardmint inclui hospedagem de DNS gratuita com registros A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV e CAA, DNSSEC gerenciado e seus próprios servidores de nomes, se preferir (2 a 13).
Se a zona está no DNS da Wardmint, o DNSSEC é gerenciado: as chaves são geradas e rotacionadas para você, e você o ativa para o domínio na área do cliente. Se a zona está em um provedor de DNS externo, esse provedor a assina e mostra a você o registro DS ou os dados da chave; você entrega esses dados DS a quem mantém o registro. Para um domínio registrado na Wardmint, envie-os pela área do cliente ou peça ao suporte: respostas por e-mail em até 12 horas, 7 dias por semana, incluindo ajuda com DNSSEC, registros CAA e denúncias de abuso.
Segundo o levantamento da Wardmint de 12 de novembro de 2026, as 29 extensões da sua lista de preços têm preço de privacidade WHOIS de $0, e o DNSSEC gerenciado que acompanha a hospedagem de DNS também não adiciona taxa; um .com continua em US$ 12,49/ano, assinado ou não. Verifique se a extensão aceita DNSSEC no registro antes de começar; a documentação do registrador ou do registro informa isso.
Como ativar o DNSSEC em seis etapas
Confirme quem serve a zona
Execute dig NS example.com +short e anote qual provedor responde. A assinatura acontece ali.
Verifique se já existe um registro DS
Execute dig DS example.com +short. Se existir um de uma configuração anterior, remova-o antes de mudar de provedor.
Ative a assinatura
Ative o DNSSEC gerenciado no seu provedor de DNS ou na área do cliente. O provedor cria as chaves e assina a zona.
Copie o registro DS
Copie o key tag, o algoritmo, o tipo de digest e o digest que o provedor exibe.
Publique o registro DS no registrador
Informe os dados DS do domínio no registrador. Com o gerenciamento automático de DS por CDS ou CDNSKEY, o registro os lê a partir da zona.
Valide a cadeia
Execute dig example.com A +dnssec e procure a flag ad na resposta de um resolvedor que valida; depois teste com um verificador público de DNSSEC.
dig NS example.com +short
dig DS example.com +short
dig DNSKEY example.com +short
dig example.com A +dnssec +multiO que pode dar errado ao ativar o DNSSEC?
As falhas são incompatibilidades, e cada uma tem uma correção rápida. Um registro DS publicado antes de a zona ser assinada faz os resolvedores que validam devolverem SERVFAIL. Remova o registro DS no registrador, espere que ele saia da zona superior, assine a zona e publique o registro DS de novo.
Mudar de provedor de DNS é a outra armadilha. Se o novo provedor não tiver as chaves antigas, o registro DS antigo deixa de corresponder. Remova primeiro o registro DS, espere seu tempo de vida (TTL) expirar, mova a zona, ative a assinatura no novo provedor e adicione o novo registro DS.
Mantenha o registro DS na sua lista de verificação de mudanças, ao lado dos registros CAA em como configurar registros CAA, e coloque o login do registrador atrás dos controles de como proteger sua conta de registrador contra tomada. Um atacante que consegue substituir um registro DS pode desfazer sua assinatura, então o registro DS é tão seguro quanto a conta que o edita.
O DNSSEC é o mesmo que um bloqueio de registro?
Não. O DNSSEC autentica respostas; um bloqueio de registro impede alterações não autorizadas no registro. Defendem pontos diferentes. O DNSSEC protege dados em trânsito. Um bloqueio de registro, oferecido pela Verisign para .com e .net por meio de registradores participantes, exige verificação manual fora de banda antes que servidores de nomes, transferências ou titularidade mudem.
A Wardmint não oferece bloqueio de registro. Oferece um bloqueio de transferência para cada domínio, DNSSEC e registros CAA gerenciados, e a Proteção de domínio por +US$ 29/ano, em que o domínio fica em nome da DomaineGoat LLC e uma pessoa lê cada reclamação antes de qualquer ação. A comparação está em bloqueio de registro vs bloqueio do registrador.
Perguntas sobre DNSSEC
O DNSSEC criptografa meu tráfego?
Não. O DNSSEC assina as respostas de DNS para que possam ser verificadas, mas não as oculta. O HTTPS protege o conteúdo da conexão.
Posso ativar o DNSSEC em todas as extensões?
Não necessariamente. O registro de cada extensão decide se aceita registros DS. Confira a documentação do registro ou do registrador antes de começar.
O DNSSEC deixará meu site mais lento?
As respostas assinadas são maiores, e um resolvedor que valida faz trabalho extra, mas o efeito no carregamento das páginas é pequeno para a maioria dos sites. As falhas por registros DS incompatíveis importam mais que a velocidade.
E se eu mudar de provedor de DNS depois?
Remova primeiro o registro DS, espere o tempo de vida (TTL) passar, mova a zona, depois ative a assinatura no novo provedor e publique o registro DS dele.
A Wardmint cobra pelo DNSSEC?
Não. O DNSSEC gerenciado faz parte da hospedagem de DNS gratuita da Wardmint, então um .com continua US$ 12,49/ano, assinado ou não.
Em resumo
- O DNSSEC assina as respostas de DNS para que os resolvedores possam rejeitar as falsificadas.
- Você o ativa em duas partes: assine a zona e depois publique o registro DS no registrador.
- Publique o registro DS depois que a zona estiver assinada; a ordem errada faz o domínio falhar na validação.
- Remova o registro DS antes de mudar de provedor de DNS.
- O DNS gratuito da Wardmint inclui DNSSEC gerenciado sem taxa adicional.
- O DNSSEC não protege uma conta que um atacante tomou.
- A Wardmint não oferece bloqueio de registro; oferece um bloqueio de transferência e a Proteção de domínio.
Fontes (3)
- RFC 9364: DNS Security Extensions (DNSSEC), BCP 237 — IETF / RFC Editor (lido em 2026-11-12)
- Registry Lock — Verisign (lido em 2026-11-12)
- Aviso de incidente de domínio da Curve Finance — Curve Finance (lido em 2026-11-12)