Módulo 8 · 8.3
Ferramentas DNS online
Módulo 8: Segurança e resolução de problemas · Tempo de leitura: 7 minutos
Objetivo de aprendizagem: Depois desta lição, escolhe para cada pergunta sobre o seu DNS a ferramenta online certa e sabe como ler o resultado.
Conceitos-chave: dig online, verificador de DNS por país, internet.nl, DNSViz, Zonemaster, MXToolbox, mail-tester, verificação de e-mail, saúde do domínio
Porquê ferramentas online?
Uma ferramenta online faz a sua pergunta a partir de um local diferente do seu computador. Isto tem duas vantagens. Não sofre com a cache do seu próprio computador ou router, e vê o que o resto da internet vê. Além disso, muitas ferramentas combinam dezenas de verificações num único clique, enquanto com o dig teria de fazer cada pergunta separadamente.
Não existe uma única ferramenta que faça tudo melhor. Escolha com base na sua pergunta.
Que ferramenta para que pergunta?
| A sua pergunta | Ferramenta adequada | O que vê |
|---|---|---|
| "O que é que o DNS devolve exatamente agora?" | Google Admin Toolbox Dig (toolbox.googleapps.com/apps/dig), ou outro dig online | O mesmo que o dig, sem instalar nada |
| "O mundo inteiro já vê a minha alteração?" | dnschecker.org (ou "verificadores de propagação de DNS" semelhantes) | A resposta de dezenas de resolvers em diferentes países lado a lado |
| "O meu domínio está configurado de forma moderna e segura?" | internet.nl (da plataforma holandesa de normas de internet, Internetstandaarden Platform) | Pontuação para website (IPv6, DNSSEC, https) e e-mail (DNSSEC, SPF, DKIM, DMARC, STARTTLS/DANE) |
| "A minha cadeia DNSSEC está correta?" | DNSViz (dnsviz.net) | Uma imagem da cadeia desde a raiz até ao seu domínio, com erros a vermelho |
| "A minha zona está tecnicamente correta?" | Zonemaster (zonemaster.net) | Verificação completa dos servidores de nomes, delegação, SOA e DNSSEC |
| "Como estão os meus registos de correio?" | MXToolbox, uma verificação de e-mail (por exemplo, a Verificação de e-mail da WebOké) ou as verificações do seu fornecedor de e-mail | MX, SPF (com número de consultas), DMARC, listas negras |
| "O e-mail que envio chega bem?" | mail-tester.com, ou um e-mail de teste para o Gmail com "Mostrar original" | Se SPF, DKIM e DMARC passam para um e-mail real |
| "O website e o e-mail funcionam em conjunto, tudo numa só visão geral?" | Uma verificação de saúde do domínio (por exemplo, a Saúde do Domínio da WebOké) | Servidores de nomes, registo A, www, certificado, MX, SPF, DMARC, DNSSEC e CAA numa única lista |
As ferramentas da WebOké estão aqui como exemplo de uma verificação "tudo em um"; outras empresas de alojamento e registrars têm ferramentas semelhantes. Em caso de dúvida, use duas em paralelo: se duas ferramentas independentes disserem o mesmo, é praticamente certo que está correto.
Usar um dig online
Um dig online faz exatamente o que aprendeu na lição 8.2. Preenche o nome (por exemplo, _dmarc.example.com), escolhe o tipo (TXT) e recebe a saída em bruto. A toolbox da Google também mostra o estado (NOERROR, NXDOMAIN, SERVFAIL) e o TTL. Use esta ferramenta se quiser saber exatamente o que está registado, por exemplo para verificar se o seu registo SPF aparece exatamente uma vez.
Ler um verificador de DNS por país
Depois de uma alteração, vê frequentemente num verificador como o dnschecker.org uma mistura: em alguns países o novo endereço com um visto verde, noutros ainda o antigo. Isso não é um erro. Cada resolver obteve o registo num momento diferente e está a contar o seu próprio TTL (lição 6.2).
Duas coisas a ter em atenção:
- Vê a resposta antiga em todo o lado, mesmo muito depois do TTL? Então a alteração provavelmente não está no servidor de nomes que o mundo usa. Verifique quais os servidores de nomes do seu domínio (lição 2.1).
- Não vê nada (uma cruz) em alguns resolvers? Pode tratar-se de um SERVFAIL, muitas vezes por causa do DNSSEC. Verifique então com o DNSViz.
internet.nl
O internet.nl é um teste independente da plataforma holandesa de normas de internet (Internetstandaarden Platform), da qual fazem parte entre outros a SIDN, o NLnet Labs e o governo holandês. Existem três testes: website, e-mail e a sua própria ligação. O resultado é uma percentagem com explicação por componente e um "Como melhorar".
Leia o resultado com sensatez: nem todos os elementos a vermelho são uma falha. Se, por exemplo, faltar DANE ou IPv6, o seu e-mail ou site continua a funcionar, mas não cumpre a norma mais recente. Já o vermelho em "DNSSEC válido" ou "SPF" é importante.
DNSViz
O DNSViz desenha a cadeia de confiança da lição 8.1: blocos para a raiz, o TLD e o seu domínio, com setas para DS e DNSKEY. Azul significa seguro, preto significa não assinado (não é um erro) e vermelho significa quebrado; a forma de ler a imagem está explicada na lição 8.1. Linhas vermelhas ou blocos vermelhos indicam exatamente onde a cadeia se quebra, por exemplo "DS não tem DNSKEY correspondente". É a ferramenta a usar quando recebe SERVFAIL mas o dig +cd dá uma resposta.
Zonemaster
O Zonemaster (criado, entre outros, pelas registries de .se e .fr) verifica a sua zona da mesma forma que uma registry faz: existem pelo menos dois servidores de nomes, dão todos a mesma resposta, o número de série do SOA está correto em todo o lado, os servidores de nomes estão acessíveis via IPv4 e IPv6. Útil antes de alterar servidores de nomes numa registry que verifica com rigor. Também pode testar servidores de nomes que ainda não estão associados ao domínio ("undelegated test").
Ferramentas de e-mail
Uma verificação de e-mail analisa o lado do DNS: existe um MX, existe exatamente um registo SPF, está dentro das dez consultas, existe um registo DMARC. Não consegue verificar se o DKIM funciona, pois para isso precisa de saber o seletor. Isso testa-se com um e-mail real: envie um para mail-tester.com ou para um endereço de Gmail, e verifique em "Mostrar original" se SPF, DKIM e DMARC aparecem como PASS.
Na prática: assim se apresenta num painel
Muitos painéis têm a sua própria verificação. No O meu WebOké, na página do domínio, encontra o cartão Domínio / Saúde do E-mail, com pontos verdes, laranja e vermelhos e, por vezes, um botão de reparação. No Cloudflare vê avisos no topo da sua visão geral de DNS, no Google Workspace e no Microsoft 365 uma página de verificação no centro de administração. Essas verificações conhecem melhor a sua situação; uma ferramenta independente mostra o que o mundo exterior vê. Use-as em conjunto.
Resumo
- As ferramentas online fazem a pergunta a partir de outro local e não sofrem com a sua cache.
- Dig online: o que está registado exatamente. Verificador de DNS por país: se o mundo já vê a alteração. DNSViz: se a cadeia DNSSEC está correta. Zonemaster: se a zona está tecnicamente correta. internet.nl: se está configurado de forma moderna e segura.
- Uma verificação de e-mail testa os registos; um e-mail de teste real testa se SPF, DKIM e DMARC passam.
- Use duas ferramentas em paralelo se tiver dúvidas.
Quiz
Exercício
Exercício Z8.3: Ferramentas online. Teste o internet.nl com o teste de website e de e-mail do próprio internet.nl. Anote, no teste de e-mail, se o DNSSEC é válido para os servidores de correio (MX), e procure no DNSViz qual o número de algoritmo usado pelos registos DS do internet.nl. Depois, verifique com um dig online qual a política (p=) do registo DMARC do internet.nl. Preencha as respostas.
Para saber mais
Estes artigos descrevem as verificações da WebOké; as ferramentas independentes funcionam para qualquer domínio.
- Manual do WebOké 5.17: Saúde do domínio e e-mail: verificar e resolver
- O seu site ou e-mail não funciona após uma migração ou alteração de DNS: verifique o seu domínio
- Ferramenta gratuita Saúde do Domínio: https://www.weboke.nl/pt/saude-do-dominio
- Verificação de e-mail gratuita: https://www.weboke.nl/pt/verificar-email