Verificador DNSSEC

• Verificação instantânea de validação de DNSSEC: nosso verificador de DNSSEC consulta registros DS, DNSKEY e RRSIG instantaneamente por meio da API DNS sobre HTTPS da Cloudflare. Verifique se algum domínio tem DNSSEC habilitado em segundos com informações detalhadas de registro criptográfico - não é necessária instalação.
• Análise detalhada de registros criptográficos: visualize detalhes completos de DNSSEC, incluindo tags de chave de registro DS e tipos de resumo, nomes de algoritmos DNSKEY e funções principais (KSK/ZSK) e assinaturas RRSIG com carimbos de data e hora de início e expiração. Entenda toda a cadeia DNSSEC para qualquer domínio.
• DNS sobre HTTPS seguro e privado: todas as consultas DNSSEC são enviadas diretamente do seu navegador para o endpoint DNS sobre HTTPS da Cloudflare por meio de uma conexão HTTPS criptografada. Nenhum dado de consulta é armazenado em nossos servidores – suas verificações de DNSSEC são totalmente privadas.
• Gratuito e sem necessidade de instalação: Use nosso verificador DNSSEC gratuito diretamente em seu navegador, sem downloads, plug-ins e sem necessidade de conta. Verifique o status DNSSEC de qualquer domínio em qualquer dispositivo, a qualquer momento - totalmente gratuito e sem limites de uso.

• Verificação de segurança de domínio: Proprietários de domínio preocupados com a segurança usam o verificador DNSSEC para verificar se o DNSSEC está configurado corretamente para seus domínios. Verificações regulares garantem que a cadeia criptográfica de confiança esteja intacta e que os registros DNS estejam protegidos contra ataques de falsificação e envenenamento de cache.
• Auditoria de DevOps e infraestrutura: os engenheiros de DevOps usam o verificador DNSSEC para auditar configurações de DNS durante a configuração e migrações de infraestrutura. Verifique se o DNSSEC está configurado corretamente após transferências de domínio, alterações de registrador ou trocas de provedor de DNS.
• Avaliação da proteção contra falsificação de DNS: pesquisadores de segurança e administradores de rede usam o verificador DNSSEC para avaliar quais domínios em sua organização estão protegidos contra falsificação de DNS. Identifique domínios que não possuem proteção DNSSEC e priorize os esforços de remediação.
• Monitoramento da integridade do DNS: os administradores de rede usam o verificador DNSSEC como parte do monitoramento contínuo da integridade do DNS. Verifique se as assinaturas DNSSEC são válidas e não expiraram e se os registros DS na zona pai correspondem aos registros DNSKEY do domínio.
• Pesquisa de segurança e inteligência de ameaças: Os pesquisadores de segurança usam o verificador DNSSEC para investigar configurações DNS de domínios suspeitos. O status do DNSSEC pode indicar o grau de preocupação com a segurança de um operador de domínio e ajudar a avaliar a confiabilidade de domínios desconhecidos.
• Auditoria de conformidade e regulamentação: Os oficiais de conformidade e auditores usam o verificador DNSSEC para verificar se os domínios atendem aos requisitos de DNSSEC exigidos por estruturas de segurança como PCI DSS, NIST e BSI. Gere resultados de verificação para documentação de conformidade.

DNSSEC (Domain Name System Security Extensions) é um conjunto de especificações que adiciona assinaturas criptográficas aos registros DNS. Essas assinaturas permitem que os resolvedores de DNS verifiquem se os registros recebidos não foram adulterados em trânsito. Sem o DNSSEC, as respostas DNS podem ser forjadas por invasores por meio de técnicas como falsificação de DNS e envenenamento de cache, redirecionando os usuários para sites maliciosos mesmo quando digitam o nome de domínio correto. Nosso verificador DNSSEC consulta registros DNS via DNS sobre HTTPS usando o resolvedor público da Cloudflare para verificar o status DNSSEC de qualquer domínio.

1. Insira um nome de domínio: digite qualquer nome de domínio no campo de entrada (por exemplo, example.com). A ferramenta remove automaticamente protocolos e caminhos.
2. Consultar registros DNSSEC: a ferramenta consulta três tipos de registros DNSSEC do resolvedor DoH da Cloudflare: registros DS (Delegation Signer) da zona pai, registros DNSKEY do próprio domínio e registros RRSIG (Resource Record Signature). Ele também verifica o sinalizador AD (dados autenticados) no cabeçalho de resposta DNS.
3. Resultados da revisão: O verificador DNSSEC exibe um status claro de aprovação/reprovação, tabelas de registros detalhadas mostrando parâmetros criptográficos (tags-chave, algoritmos, tipos de resumo), funções-chave (KSK/KSR/ZSK) e carimbos de data/hora de assinatura. Copie qualquer valor com um clique.

• DS (Delegation Signer): Armazenado na zona pai (por exemplo, .com para example.com). Contém um hash do registro DNSKEY da zona filha. Os registros DS são como a cadeia de confiança é estabelecida - o pai assina o registro DS e os resolvedores o usam para verificar a DNSKEY do filho. Sem um registro DS, um domínio não pode ter validação DNSSEC completa.
• DNSKEY: Contém a chave pública usada pela zona para assinar seus registros DNS. Existem dois tipos: KSK (Key Signing Key, sinalizador 257) usado para assinar outros registros DNSKEY e ZSK (Zone Signing Key, sinalizador 256) usado para assinar todos os outros registros na zona. A KSK é o que o registro DS na zona pai autentica.
• RRSIG (Resource Record Signature): A assinatura digital anexada a cada conjunto de registros DNS. Cada registro RRSIG especifica qual algoritmo foi usado, quando a assinatura foi criada, quando ela expira, qual chave a assinou e o próprio valor da assinatura. Os resolvedores verificam os registros RRSIG em relação ao DNSKEY da zona para autenticar cada resposta DNS.

DNSSEC oferece suporte a vários algoritmos criptográficos para assinatura de registros DNS. Algoritmos comuns incluem RSA/SHA-256 (algoritmo 7, amplamente suportado), RSA/SHA-512 (algoritmo 8, mais forte), ECDSA P-256 (algoritmo 13, curva elíptica moderna) e Ed25519 (algoritmo 15, eficiente e moderno). O tipo de resumo nos registros DS indica a função hash usada - SHA-256 (tipo 2) é o padrão atual, enquanto SHA-1 (tipo 1) está sendo descontinuado devido a vulnerabilidades de colisão. As melhores práticas modernas usam o algoritmo 13 (ECDSA P-256) ou 15 (Ed25519) com resumos SHA-256 para segurança e desempenho ideais. Nosso verificador DNSSEC exibe todos esses valores para que você possa verificar se um domínio usa parâmetros criptográficos seguros e atuais.