Consulta DNS e comparação de resolvedores

Peça um tipo de registo e a consulta é enviada para quatro resolvedores públicos ao mesmo tempo. As respostas aparecem lado a lado, seguidas de uma tabela valor a valor que mostra quais os resolvedores que devolveram cada registo, para que uma divergência fique visível à primeira vista em vez de ficar escondida atrás da opinião de um único resolvedor. Cada resposta mantém o seu TTL, e cada resolvedor indica se conseguiu validar o nome com DNSSEC. Quando os resolvedores discordam, a página não adivinha: lista exatamente o que difere, apresenta as duas explicações que cobrem quase todos os casos reais, e indica como distingui-las.
Nome a resolver
Comparação
Pronto. Ainda não foi enviada nenhuma consulta.
Introduza um nome, escolha um tipo de registo e depois resolva.
Tipos de registo, códigos de resposta e as respostas que parecem erradas mas não são
Tipos de registo. A associa um nome a um endereço IPv4, AAAA a um endereço IPv6. CNAME diz que o nome é outro nome, e os resolvedores seguem a cadeia até ao fim. MX lista os servidores de correio, cada um com um número de prioridade, sendo testado primeiro o de número mais baixo. TXT guarda texto livre e é onde vivem as políticas de correio: uma política SPF começa por v=spf1, uma chave DKIM fica sob um nome de seletor que termina em ._domainkey, e uma política DMARC fica em _dmarc antes do domínio. NS lista os servidores de nomes responsáveis por uma zona, SOA é o registo de cabeçalho da própria zona e contém o tempo de cache da resposta negativa. SRV localiza um serviço num servidor e porta, CAA diz quais as autoridades de certificação que podem emitir certificados para o nome, PTR é o sentido inverso, de um endereço de volta a um nome, e TLSA fixa um certificado para um serviço. DS e DNSKEY transportam as chaves que tornam possível a validação DNSSEC, e HTTPS e SVCB descrevem como alcançar um serviço, incluindo os parâmetros dos protocolos mais recentes.

Códigos de resposta. NOERROR sem registos significa que o nome existe mas não tem nada do tipo pedido. NXDOMAIN significa que o nome não existe de todo, e essa resposta fica em cache durante algum tempo, pelo que um nome criado há um minuto ainda pode aparecer como inexistente. SERVFAIL significa que o resolvedor não conseguiu concluir a tarefa, e uma assinatura DNSSEC avariada é uma das razões mais comuns. REFUSED significa que o resolvedor recusou responder a essa consulta.

TTL. O TTL é o número de segundos que um resolvedor pode manter o registo. É a razão pela qual dois resolvedores podem legitimamente mostrar respostas diferentes durante algum tempo: um ainda guarda a cópia antiga até o seu temporizador expirar. É também por isso que a primeira coisa a verificar após uma alteração é se todos os resolvedores já atualizaram, e não se um deles está errado.

DNSSEC, num parágrafo. Um resolvedor que indica a flag de dados autenticados diz que conseguiu verificar a resposta com assinaturas criptográficas a partir da chave do próprio domínio. A ausência da flag não prova adulteração: a zona pode simplesmente não estar assinada, ou o resolvedor pode não validar de todo. Um resolvedor que comunica uma falha ao mesmo tempo que os outros devolvem registos é o caso interessante, porque uma assinatura que falha é exatamente o aspeto de uma resposta forjada.

Respostas que parecem erradas mas não são. Sítios grandes, redes de conteúdos e tudo o que tenha DNS sensível à localização entregam deliberadamente endereços diferentes a resolvedores diferentes, pelo que a divergência é normal nesses casos e não é sinal de nada grave. Um endereço como 0.0.0.0, :: ou um endereço privado numa resposta A ou AAAA é normalmente um bloqueio deliberado de quem gere o resolvedor, e não um sequestro na rede, mas significa que o resolvedor alterou a resposta. Esta página mostra-lhe a diferença e o raciocínio, e nunca lhe diz qual é a resposta real.