Lista de verificação para o seu próprio domínio

Módulo 8: Segurança e resolução de problemas · Tempo de leitura: 10 minutos

Objetivo de aprendizagem: Depois desta lição, vai conseguir verificar o seu próprio domínio de cima para baixo com uma lista de verificação fixa, e saberá por onde começar quando o website ou o e-mail não funcionam.

Conceitos-chave: registo, servidores de nomes, A/AAAA, www, certificado, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, cópia de segurança

Porquê de cima para baixo?

O DNS é uma cadeia: sem registo não há servidores de nomes, sem servidores de nomes a funcionar não há registos, sem registo A não há website. Um erro no topo provoca todo o tipo de queixas mais abaixo. Por isso, percorra sempre a lista por esta ordem e pare no primeiro ponto que não esteja correto. Resolva-o primeiro e depois comece de novo a partir do topo.

Na lista está example.com: substitua pelo seu próprio domínio. Em cada ponto há um comando dig; com um dig online (lição 8.3) também é possível. Uma verificação de saúde de domínio, como a da sua empresa de alojamento ou a Saúde do Domínio gratuita, faz grande parte desta lista de uma só vez, mas é bom saber o que está por trás.

Parte A: a base

1. O domínio está registado e ativo?

• Como: uma consulta whois ou RDAP (por exemplo, através do site da registry, como dns.pt para .pt), ou whois example.com.
• Correto: estado ativo (no caso do .nl: "active"), não "em quarentena", não expirado. O titular do domínio está correto.

2. Que servidores de nomes tem o domínio, e são pelo menos dois?

• Como: dig +short NS example.com, e para o que a registry transmite dig +trace example.com.
• Correto: pelo menos dois servidores de nomes, da entidade onde gere o seu DNS.

3. Todos os servidores de nomes respondem, e dão a mesma resposta?

• Como: dig +short SOA example.com @<nameserver> para cada servidor de nomes.
• Correto: cada servidor de nomes responde (sem time-out, sem REFUSED) e o número de série (terceiro campo do SOA) é igual em todos. Um servidor de nomes que não responde pelo seu domínio chama-se lame.

4. O DNSSEC está correto (se estiver ativo)?

• Como: dig +short DS example.com e dig example.com A @1.1.1.1 (preste atenção ao estado e à flag ad); em caso de dúvida, DNSViz.
• Correto: ou não há DS (DNSSEC desativado, o que funciona normalmente), ou há um DS com estado NOERROR e a flag ad. Errado: SERVFAIL.

Parte B: o website

5. O domínio aponta para o servidor correto?

• Como: dig +short A example.com e dig +short AAAA example.com.
• Correto: o endereço IPv4 (e, se tiver um, o endereço IPv6) do servidor onde está o seu website. Nenhum AAAA antigo de um servidor anterior.

6. O www funciona?

• Como: dig +short A www.example.com (ou CNAME).
• Correto: um registo A, registo AAAA ou CNAME que aponte para o mesmo site. Se o www não existir, quem escrever www recebe uma mensagem de erro.

7. O site tem um certificado válido para ambos os nomes?

• Como: abra https://example.com e https://www.example.com e clique no cadeado, ou utilize o teste de website do internet.nl.
• Correto: nenhum aviso, o certificado ainda é válido por pelo menos mais algumas semanas e aplica-se a ambos os nomes.

8. A sua autoridade de certificação pode emitir certificados (CAA)?

• Como: dig +short CAA example.com.
• Correto: nenhum registo CAA (todos podem), ou um registo CAA com issue para a entidade que emite o seu certificado. Errado: um CAA que não menciona a sua autoridade de certificação.

Parte C: o e-mail

9. Onde chega o seu e-mail?

• Como: dig +short MX example.com, e depois dig +short A <mailserver> para o primeiro nome.
• Correto: os registos MX do seu fornecedor de e-mail atual, e nenhum MX esquecido de um fornecedor anterior. Cada nome de servidor de e-mail tem um registo A ou AAAA. Se não utiliza o domínio para e-mail, um null MX (0 .) pode indicar claramente que não chega e-mail.

10. Existe exatamente um registo SPF correto?

• Como: dig +short TXT example.com e procure as linhas que começam com v=spf1; uma verificação de e-mail conta as consultas.
• Correto: exatamente um registo SPF, com todos os serviços que enviam e-mail em nome do seu domínio, terminando em ~all ou -all (nunca +all), e no máximo dez consultas DNS.

11. O DKIM está configurado para cada serviço que envia e-mail?

• Como: dig +short TXT <selector>._domainkey.example.com (ou CNAME) para cada seletor que conhece, como o do seu fornecedor de e-mail e o do seu serviço de newsletter. Encontra o seletor nas instruções do serviço ou no cabeçalho DKIM-Signature: ... s=<selector> de um e-mail enviado.
• Correto: cada registo apresenta uma chave (v=DKIM1; ... p=...) ou um CNAME para o serviço, e um e-mail de teste mostra DKIM PASS.

12. Existe um registo DMARC?

• Como: dig +short TXT _dmarc.example.com.
• Correto: exatamente um registo que começa com v=DMARC1 e tem uma política válida (p=none, p=quarantine ou p=reject). Começou com p=none? Planeie então torná-la mais rigorosa.

13. Um e-mail real chega corretamente?

• Como: envie um e-mail para mail-tester.com ou para um endereço Gmail e veja "Mostrar original".
• Correto: SPF, DKIM e DMARC em PASS.

Parte D: manutenção

14. Os TTLs são adequados?

• Como: dig example.com A @<o seu servidor de nomes> e veja o TTL.
• Correto: normalmente entre 3600 e 86400 (uma hora a um dia). Apenas temporariamente 300 em torno de uma alteração planeada. Esquecer-se de repor depois de uma transferência não é grave, mas gera tráfego desnecessário.

15. Tem uma cópia de segurança da sua zona?

• Como: o botão de cópia de segurança ou exportação do seu painel de DNS, ou dig registo a registo se não tiver essa opção.
• Correto: uma cópia recente de todos os registos, guardada fora do painel.

16. Não há registos esquecidos?

• Como: percorra todos os registos no seu painel.
• Correto: nenhum registo de verificação ou subdomínio de serviços que já não utiliza. Um CNAME para um serviço cancelado pode ser "apropriado" por outra pessoa (subdomain takeover): remova-o.

Por onde começar perante uma queixa?

Na prática: como aparece num painel

Uma verificação de saúde de domínio faz grande parte desta lista automaticamente. No O meu WebOké, essa funcionalidade está na página do domínio como cartão Domínio / Saúde do E-mail, com verde, laranja e vermelho por ponto; a versão pública funciona para qualquer domínio. Outras empresas de alojamento, registrars e entidades de DNS têm verificações semelhantes, e o internet.nl testa de forma independente grande parte das partes B e C. Utilize uma verificação destas como ponto de partida e esta lista para perceber o que está a vermelho.

Resumo

• Percorra a lista de cima para baixo e pare no primeiro ponto que não esteja correto.
• Base: registo, servidores de nomes, respostas iguais, DNSSEC.
• Website: A/AAAA, www, certificado, CAA.
• E-mail: MX com endereço, um SPF, DKIM por serviço, um DMARC, e-mail de teste.
• Manutenção: TTL, cópia de segurança, limpeza.

Quiz

Exercício

Exercício Z8.5: Exercício final: o seu próprio domínio. Verifique o seu próprio domínio com esta lista de verificação. Introduza o seu nome de domínio no ambiente do curso e responda, para cada ponto das partes A, B e C, o que encontrou (por exemplo, os seus servidores de nomes, o seu MX, o seu registo SPF e a sua política DMARC). O programa faz as mesmas verificações e compara. Se algo não estiver correto no seu domínio, recebe uma explicação com uma referência à lição. Se não tiver um domínio próprio, utilize sidn.nl.

Para saber mais

Estes artigos descrevem as verificações na WebOké; a lista de verificação funciona para qualquer domínio.

• Manual do WebOké 5.17: Saúde do domínio e e-mail: verificar e resolver
• O seu site ou e-mail não funciona após uma migração ou alteração de DNS: verifique o seu domínio
• Manual do WebOké 5.7: Repor o DNS e criar uma cópia de segurança do DNS
• Fazer e restaurar uma cópia de segurança do seu DNS
• Ferramenta gratuita Saúde do Domínio: https://www.weboke.nl/pt/saude-do-dominio
• Verificação de E-mail gratuita: https://www.weboke.nl/pt/verificar-email