Registos TXT e verificação de domínio

Módulo 4: Registos para e-mail · Tempo de leitura: 7 minutos

Objetivo de aprendizagem: Depois desta lição, é capaz de criar um registo TXT para verificar o seu domínio junto de um serviço, e sabe quando podem existir vários registos TXT em simultâneo e quando não.

Conceitos-chave: registo TXT, código de verificação, nome com underscore, aspas, segmentos de texto de 255 caracteres, SPF/DMARC como registos TXT especiais

Um bilhete no seu DNS

Um registo TXT é o registo mais simples que existe: um pedaço de texto associado a um nome. O DNS em si não faz nada com ele. Destina-se a outros programas que vêm ler esse texto.

Por isso, o TXT é o registo preferido dos serviços que querem saber se um domínio é realmente seu. O Google Search Console, o Microsoft 365, o Google Workspace, o Facebook, a Apple, o GitHub, serviços de newsletter e plataformas de lojas online funcionam todos assim:

1. O serviço dá-lhe um código, por exemplo google-site-verification=Ab12Cd34... ou MS=ms12345678.
2. Você coloca esse código como registo TXT no DNS do seu domínio.
3. O serviço consulta o registo TXT do seu domínio. Se o código lá estiver, o serviço sabe: quem conseguiu colocar este código, administra este domínio.

Só quem consegue alterar o DNS de um domínio pode colocar esse tipo de registo. Por isso, é uma verificação fiável.

Como é um registo TXT?

example.com.   3600  IN  TXT  "google-site-verification=Ab12Cd34Ef56"
example.com.   3600  IN  TXT  "MS=ms12345678"
example.com.   3600  IN  TXT  "v=spf1 mx include:spf.service.example ~all"

Algumas coisas a saber:

• Aspas. Num ficheiro de zona, o texto está entre aspas. Na maioria dos painéis não precisa de as escrever: o painel coloca-as automaticamente. Se mesmo assim as escrever, verifique depois de guardar se não ficaram aspas duplicadas.
• Segmentos de 255 caracteres. Um segmento de texto num registo TXT pode ter, no máximo, 255 caracteres (RFC 1035). Textos mais longos, como uma chave DKIM, são divididos em vários segmentos dentro do mesmo registo: "primeira parte" "segunda parte". Os programas que leem o TXT voltam a juntar esses segmentos. Os bons painéis dividem automaticamente; noutros, tem de o fazer você mesmo.
• Maiúsculas e espaços contam. Copie o código exatamente, de preferência com copiar e colar. Um espaço no final ou um carácter em falta é suficiente para a verificação falhar.

Em que nome?

O serviço indica sempre em que nome o registo deve ficar:

• No próprio domínio. O serviço diz então "@", "root", "host vazio" ou refere apenas example.com. Na maioria dos painéis, escreve-se então @ ou deixa-se o campo em branco.
• Num nome próprio. Alguns serviços pedem um nome separado que começa com um underscore, como _github-challenge-empresaexemplo ou _acme-challenge. O underscore mostra que não se trata de um nome de host normal (não é possível abrir um website nesse endereço). No seu painel, escreva apenas essa primeira parte; o seu nome de domínio já é acrescentado automaticamente.

Um erro comum: preencher o nome completo num painel que já acrescenta o nome de domínio automaticamente. Isso resulta em _github-challenge-empresaexemplo.example.com.example.com, e o serviço não encontra nada. Depois de guardar, verifique qual o nome completo que o painel mostra.

Vários registos TXT: é permitido?

Sim. Num único nome podem existir tantos registos TXT quantos quiser. Uma verificação para o Google e outra para a Microsoft não interferem uma com a outra. Cada serviço procura o seu próprio código entre todos os registos TXT.

Há duas exceções, e são importantes:

• SPF (começa com v=spf1): no máximo um por nome. Dois registos SPF tornam o seu SPF inválido (lição 4.3).
• DMARC (em _dmarc, começa com v=DMARC1): no máximo um. Com dois registos, o destinatário considera que não tem DMARC (lição 4.5).

Se um serviço lhe pedir para "adicionar este registo SPF", não crie um segundo registo SPF, mas sim complete o existente.

Pode a verificação ser removida depois?

Isso depende do serviço. Muitos serviços (como o Google Search Console e o Microsoft 365) voltam a verificar mais tarde. Se remover o registo, o seu domínio pode voltar a ficar "não verificado" passado algum tempo. Por isso, deixe-o ficar, a menos que o serviço indique que pode ser removido. Um registo de verificação antigo de um serviço que já não utiliza pode ser removido.

Não funciona de imediato

Acabou de criar o registo e o serviço diz "não encontrado"? Isso deve-se normalmente à cache (módulo 6). Se o serviço já tiver consultado o seu domínio antes de o registo existir, ele recorda-se durante algum tempo de que não havia nada lá. Aguarde um quarto de hora e tente novamente. Entretanto, verifique você mesmo com uma ferramenta de consulta DNS online se o registo já lá está (lição 8.2 e 8.3).

Na prática: como é num painel

Neste exemplo, usamos O meu WebOké. Vá ao domínio, separador DNS, e clique em Adicionar registo. Escolha o tipo TXT, preencha em Nome do host @ (ou o nome indicado pelo serviço) e cole o código no valor. Não precisa de escrever aspas. No DirectAdmin funciona de forma semelhante em Administração de DNS; aí mantém o Tipo de registro TXT como Texto.

Noutros painéis, os campos chamam-se por vezes Host, Nome do host ou Name e Value, Content ou Data, mas o princípio é o mesmo.

Resumo

• Um registo TXT é texto associado a um nome. Os serviços usam-no para verificar se um domínio é seu.
• Copie o código exatamente e coloque-o no nome indicado pelo serviço (muitas vezes @, por vezes um nome com underscore).
• Podem existir vários registos TXT num único nome, exceto no caso do SPF e do DMARC: desses, no máximo um.
• Se a verificação não funcionar de imediato, aguarde um pouco: a resposta pode ainda estar numa cache.

Quiz

Exercício

Exercício Z4.2: Procurar um código de verificação. Procure os registos TXT de wikipedia.org. Lá encontra, entre outros, um código de verificação do Google. Cole o texto de verificação completo que começa por google-site-verification=.

Exercício O4.2: Configurar na sua própria zona de treino. Na zona de treino utiliza um serviço fictício; no seu domínio real, utilizará, claro, o código verdadeiro fornecido pelo serviço. Recebe para este exercício um código pessoal <o seu código> (que tem o aspeto de oefen-<código>-<letras>). Crie na sua zona de treino <code>.dnspractice.eu dois registos TXT:

1. no nome da própria zona (@): dnscursus-verificatie=<o seu código>
2. no nome _cursus-challenge: apenas <o seu código>

Para saber mais

Os passos descritos nestes artigos aplicam-se aos painéis da WebOké; noutros painéis, o funcionamento é semelhante.

• Manual DirectAdmin 5.6: Registos TXT para verificação (Google, Microsoft e outros)
• Gerir registos DNS no O meu WebOké (com exemplos para CNAME, TXT e serviços externos)
• Manual do WebOké 5.4: Gerir o DNS: adicionar, alterar e eliminar registos
• RFC 1035 secção 3.3.14 (TXT), RFC 7208 secção 3.3 (textos SPF longos em vários segmentos)