DNSSEC mal migrado derruba o domínio — desative antes de trocar o DNS

Para ativar DNSSEC na Cloudflare ao migrar um domínio já assinado, remova o DS antigo no registrador e espere seu TTL expirar antes de trocar os nameservers. Depois da troca, habilite a assinatura da nova zona e publique o DS gerado para ela. A orientação de migração da Cloudflare alerta que antecipar a mudança pode fazer resolvedores validadores retornarem SERVFAIL: o DS armazenado ainda aponta para a chave anterior.

Para um domínio que ainda não tem DS, não há registro antigo a remover. Nesse caso, conclua a delegação para a nova zona, habilite DNSSEC no painel e cadastre no registrador os dados do DS exibidos pelo serviço. Assinar a zona e publicar o DS são ações distintas; a resolução validada depende da correspondência entre elas.

Antes da troca, identifique o DS e prepare a zona

Descubra onde o domínio está registrado, quais nameservers atendem à zona atual e se a zona pai publica um DS. A consulta dig DS exemplo.com +trace, com seu domínio no lugar do exemplo, ajuda a localizar a resposta da zona pai. Registre também o TTL do DS antes de removê-lo: esse é o prazo que importa para cópias já guardadas por resolvedores.

O DS é a referência que liga a zona pai à chave pública usada para validar a zona do domínio. Na explicação da ICANN sobre a cadeia de confiança, o resolvedor verifica as assinaturas a partir dessa relação e devolve um erro quando a validação falha. Por isso, registros de endereço corretos nos novos servidores não resolvem uma incompatibilidade entre o DS antigo e a nova chave.

Confira também se a zona de destino já contém os registros usados em produção: endereço do site, MX para e-mail, nomes de serviços e entradas de verificação necessárias. Faça essa conferência antes de mudar a delegação, enquanto ainda é possível comparar as respostas dos servidores antigos e novos. Um registro ausente causa uma falha diferente da quebra de DNSSEC e exige outra correção.

Domínio já assinado: siga a ordem da migração

Na migração comum, a retirada do DS cria um intervalo temporário sem a proteção do DNSSEC. Planeje esse intervalo com base no TTL observado, pois excluir o registro no painel do registrador não elimina de imediato as cópias que os resolvedores armazenaram. Mantenha a zona antiga operante enquanto a delegação anterior ainda puder ser consultada.

1. Remova o DS antigo no registrador, ou desative ali o DNSSEC se essa for a opção oferecida. Preserve a assinatura no provedor anterior enquanto um resolvedor ainda puder ter em cache o DS que depende dela.
2. Aguarde o TTL do DS antigo expirar. Repita dig DS exemplo.com +trace para conferir que a zona pai já não o publica. Uma resposta vazia da zona pai mostra o estado atual, mas, sozinha, não prova que todas as cópias anteriores expiraram.
3. Troque no registrador os nameservers anteriores pelos atribuídos à nova zona. Confira a delegação NS e aguarde também a expiração do TTL dos nameservers antigos antes de concluir a ativação do DNSSEC.
4. No painel, acesse DNS > Settings, selecione Enable DNSSEC e copie os dados do DS apresentados. Cadastre esse novo DS no registrador; os valores do provedor anterior não devem ser reaproveitados.

Existe uma migração avançada que mantém o DNSSEC ativo durante a troca, desde que o provedor anterior aceite chaves DNSKEY externas e participe da configuração com múltiplos assinantes. Sem esse suporte, a sequência de retirada do DS, espera, troca de nameservers e publicação do novo DS evita que a zona pai continue exigindo uma chave que os novos servidores não oferecem.

Domínio sem DS e registrador incompatível

Quando a consulta à zona pai mostra que não existe DS anterior, espere a nova zona aparecer como ativa no painel e confirme que a delegação aponta para os nameservers atribuídos a ela. Habilite DNSSEC em DNS > Settings e preencha no registrador os campos mostrados pelo serviço. Confira identificador da chave, algoritmo, tipo de resumo e resumo antes de salvar; um valor digitado incorretamente pode interromper a validação.

O algoritmo preferencial é o 13, que alguns formulários identificam como ECDSA Curve P-256 with SHA-256. Se essa opção não estiver disponível, peça suporte ao registrador ou considere transferir o domínio para um que a aceite. Se a limitação estiver no domínio de topo, a consulta deve ser dirigida ao operador desse domínio de topo; escolher outro algoritmo no formulário não altera a chave que assina a zona.

Para domínios no Cloudflare Registrar, a publicação do DS é administrada automaticamente, por isso não se aplica o preenchimento manual no registrador externo. Após habilitar DNSSEC, confira o estado mostrado no painel e consulte a zona pai para verificar quando o DS aparecer. Essa distinção evita procurar um campo de cadastro que não faz parte desse fluxo.

Compare o DS publicado e teste a resolução

Após a publicação, use dig DS exemplo.com +trace e compare a resposta da zona pai com os dados exibidos no painel. Verifique também se a delegação NS aponta para os servidores esperados. O teste precisa incluir uma consulta por um resolvedor que valide DNSSEC, pois a presença de um DS, isoladamente, não demonstra que a cadeia funciona.

A instrução de diagnóstico da Cloudflare mostra a comparação entre dig A exemplo.com @1.0.0.1 e a mesma consulta com +cd, opção que desativa a validação nessa consulta. Se a primeira retornar SERVFAIL e a segunda trouxer a resposta esperada, há um indício de falha de validação. Confira então o DS da zona pai, a chave da zona autoritativa e os nameservers delegados. Repita a verificação para os nomes essenciais do site e do e-mail, conforme os registros usados pelo domínio.

Se a validação falhar, retire a referência incorreta

Se o novo DS foi cadastrado com valores errados, remova-o no registrador e mantenha a assinatura da zona ativa até o TTL do DS expirar. Desligar a assinatura antes disso pode deixar resolvedores com uma referência em cache, mas sem as chaves e assinaturas necessárias para atendê-la. Depois de corrigir os dados, publique novamente o DS correspondente à zona em operação.

Se a falha começou logo após a troca dos nameservers e o DS antigo ainda aparece na zona pai ou pode estar em cache, elimine essa referência e aguarde seu TTL. Durante esse período, resolvedores diferentes podem usar informações guardadas em momentos distintos. A recuperação deve ser conferida pela combinação de delegação NS correta, DS correspondente à chave atual e respostas normais em consultas com validação.

Leia também:

• Falha no IBM Test Management pode derrubar o serviço — não há mitigação
• Ask Gemini substitui o painel no Google Chat — o histórico não será migrado
• Vultus recebe R$ 8 milhões para trocar horas de consultoria por software