Voltar ao blog
FerramentasDNSSECCloudflareRegistro.brRegistro DS

Como configurar DNSSEC no Registro.br usando a Cloudflare

DNSSEC adiciona validação criptográfica às respostas DNS do domínio. Se seu domínio está no Registro.br e usa nameservers da Cloudflare, o fluxo é: ativar DNSSEC na Cloudflare, copiar o registro DSgerado e publicar esse DS no Registro.br.

Publicado em Matheus HenriqueLeitura de 10 min

Resumo rápido

Quando usar DNSSEC com Cloudflare e Registro.br

Use este guia quando o domínio já estiver delegado para a Cloudflare e você quiser ativar DNSSEC para proteger a cadeia de resolução DNS. A Cloudflare assina a zona e gera os dados DS; o Registro.br publica esse DS no nível do domínio .br.

Quem assina a zona
Cloudflare
Onde publica DS
Registro.br
Validação
dig / DNSViz

Antes de começar

DNSSEC é uma configuração sensível. Se o DS publicado no Registro.br não corresponder à chave da Cloudflare, resolvedores que validam DNSSEC podem deixar de resolver o domínio.

  • Confirme que o domínio já está ativo na Cloudflare.
  • Confirme que os nameservers no Registro.br são os nameservers da Cloudflare.
  • Remova ou substitua DS antigo se o domínio já usava DNSSEC em outro provedor.
  • Use somente os valores DNSSEC gerados para o domínio específico no painel da Cloudflare.

Passo a passo

  1. 01

    Confirme os nameservers do domínio

    Antes de ativar DNSSEC, verifique se o domínio já responde pelos nameservers da Cloudflare:

    dig NS exemplo.com.br +short

    A resposta deve mostrar os dois nameservers atribuídos pela Cloudflare para o domínio.

  2. 02

    Ative DNSSEC na Cloudflare

    No painel da Cloudflare, selecione o domínio, acesse a área de DNS e abra as configurações. Na opção DNSSEC, clique para habilitar. A Cloudflare vai assinar a zona e exibir os dados necessários para criar o registro DS no registrador.

  3. 03

    Copie os dados do registro DS

    No card de DNSSEC da Cloudflare, copie os valores do registro DS. Os campos mais comuns são:

    • Key Tag: identificador numérico da chave.
    • Algorithm: algoritmo usado pela chave.
    • Digest Type: tipo do resumo criptográfico.
    • Digest: valor longo do resumo.
  4. 04

    Acesse o domínio no Registro.br

    Acesse registro.br, faça login na conta titular ou administrativa do domínio e selecione o domínio que usa Cloudflare.

  5. 05

    Cadastre o DS da Cloudflare no Registro.br

    Na área de DNS do domínio, procure a opção de DNSSEC. Adicione os dados do DS exatamente como foram exibidos pela Cloudflare. Confira cada campo antes de salvar, principalmente o Digest.

    Se o Registro.br já tiver um DS antigo cadastrado, remova ou substitua pelo DS atual da Cloudflare. Não deixe DS antigo apontando para outro provedor DNS.

  6. 06

    Aguarde a propagação e valide

    Após salvar, aguarde a publicação da alteração e valide se o domínio possui registro DS e se a cadeia DNSSEC está funcionando.

Como validar DNSSEC

Depois de configurar o DS, valide em mais de uma ferramenta. Com terminal, você pode começar por:

Ver registro DS publicado

dig DS exemplo.com.br +short

Testar validação DNSSEC

dig exemplo.com.br +dnssec

Outra validação útil é usar o DNSViz, que mostra visualmente se a cadeia DNSSEC está válida ou onde existe algum erro.

Erros comuns ao configurar DNSSEC

  • Adicionar DS antes da Cloudflare estar ativa: confirme nameservers e zona antes de ativar DNSSEC.
  • Manter DS antigo: DS de outro provedor pode quebrar validação DNSSEC.
  • Copiar Digest incompleto: confira se o valor longo foi copiado inteiro.
  • Confundir DNSSEC com SSL: DNSSEC protege resolução DNS; SSL/TLS protege a conexão HTTPS.

Perguntas frequentes

DNSSEC troca meus nameservers?

Não. DNSSEC não troca nameservers. Ele adiciona uma assinatura criptográfica à resolução DNS. Os nameservers precisam estar corretos antes da configuração.

O que é o registro DS usado no Registro.br?

DS significa Delegation Signer. Ele é publicado no registrador para apontar para a chave DNSSEC da zona hospedada na Cloudflare e fechar a cadeia de confiança.

Posso copiar um DS de exemplo?

Não. Cada domínio tem dados DNSSEC próprios. Use somente os valores gerados pela Cloudflare para o domínio que você está configurando.

O domínio pode parar de resolver se DNSSEC estiver errado?

Sim. Um DS incorreto ou antigo pode causar falha de validação DNSSEC em resolvedores que validam DNSSEC. Por isso, confira os dados antes de salvar.

Conclusão

Para configurar DNSSEC no Registro.br usando Cloudflare, ative DNSSEC na Cloudflare, copie os dados do registro DS e publique esses dados no Registro.br. O ponto mais importante é garantir que o DS publicado corresponda exatamente à chave atual da Cloudflare.

Depois de salvar, valide com digou DNSViz e acompanhe o painel da Cloudflare até o status ficar saudável.

BedHosting LTDA | CNPJ: 60.677.890/0001-00 | BedHosting.com.br