Como encontrar CNAMEs órfãos antes que alguém assuma o seu subdomínio

Um CNAME órfão é um registro que ainda aponta um dos seus subdomínios para um serviço que você deixou de usar. Cole todos os nomes de host que você conhece na consulta de CNAME em massa e filtre as linhas marcadas como Dangling: esses CNAMEs apontam para um nome que não resolve mais. Remova-os ou aponte-os para algo que você controla.

Consultar os CNAMEs de uma lista de nomes de host →

Encontre-os em massa

1. Liste seus nomes de host: www, shop, blog, help, status, domínios de rastreamento, sites antigos de campanha. A exportação da zona no seu provedor de DNS é a fonte mais completa.
2. Abra a consulta de CNAME em massa e cole-os, um por linha: até 100 por rodada, ou 500 depois de um login gratuito com o Google. URLs também funcionam.
3. Clique em Look up CNAMEs (consultar CNAMEs). Cada cadeia é seguida salto por salto, até oito.
4. Leia cada linha: Alias (resolve), Dangling (o destino não resolve), No CNAME, Doesn't exist ou Loop.
5. Filtre por Dangling e Doesn't exist e baixe o CSV com a cadeia completa.

Faça à mão

printf "www.github.com\nwww.mozilla.org\ndocs.github.com\nnope-1109.mozilla.org\n" > hosts.txt

while read -r h; do
  out=$(dig +noall +comments +answer "$h" a)
  st=$(echo "$out" | grep -o 'status: [A-Z]*' | cut -d' ' -f2)
  cn=$(echo "$out" | awk '$4=="CNAME"{print $5}' | tail -1)
  echo "$h,${cn:-no CNAME},$st"
done < hosts.txt
# www.github.com,github.com.,NOERROR
# www.mozilla.org,www-mozilla.fastly-edge.com.,NOERROR
# docs.github.com,no CNAME,NOERROR
# nope-1109.mozilla.org,no CNAME,NXDOMAIN

Rodamos isso em 9 de novembro de 2026. Nenhum deles está órfão, o que é de se esperar em sites públicos. Uma linha órfã mostraria um CNAME e NXDOMAIN: o alias existe, o destino não. Você pode ver o que um destino inexistente responde consultando um diretamente:

dig +noall +comments sv-nonexistent-1109.azurewebsites.net | grep -o 'status: [A-Z]*'
# status: NXDOMAIN

Onde só o DNS não basta

Algumas plataformas respondem por todos os nomes sob o domínio delas. No mesmo dia, nomes inventados sob github.io e herokuapp.com retornaram NOERROR com endereços, e https://sv-nonexistent-1109.github.io/ respondeu 404. Um CNAME que aponta para um site apagado em uma plataforma assim continua resolvendo, então nem um loop de dig nem a consulta de CNAME em massa conseguem dizer que ele está órfão.

Para nomes de host que apontam para uma plataforma de hospedagem, abra-os também via HTTPS. Uma página de “nenhum site aqui” ou 404 da plataforma no seu nome de host significa que o destino sumiu. Os limites da consulta de CNAME em massa dizem o mesmo: Dangling significa que o destino não resolve agora, e a ferramenta não testa se outra pessoa pode reivindicá-lo.

Por que isso importa e como evitar

A página do MDN sobre sequestro de subdomínio descreve o risco: se você desativa um serviço mas "don't remove the DNS entry that points to the hosting provider, an attacker can now create their own virtual host with that provider, claim your subdomain, and host their own content under that subdomain." (não remove a entrada DNS que aponta para o provedor de hospedagem, um atacante pode criar o próprio host virtual nesse provedor, reivindicar o seu subdomínio e hospedar o próprio conteúdo nele).

Os conselhos de prevenção dele são sobre ordem:

• Ao configurar um serviço, reivindique-o primeiro no provedor e "create DNS records last" (crie os registros DNS por último).
• Ao desativar um, comece "removing DNS records first" (removendo os registros DNS primeiro).
• Mantenha um inventário dos seus domínios e dos provedores de hospedagem deles, para que nada fique órfão.

No e-mail, o caso comum é um domínio de rastreamento personalizado deixado para trás depois que você cancela uma ferramenta de cold email: todo link rastreado nos e-mails já enviados quebra. Veja domínios de rastreamento personalizados para cold email.

Próximo passo: verifique os endereços da sua lista

Um DNS limpo mantém seus links e sua marca seguros. Bounces de endereços mortos são outro problema, que prejudica a sua reputação de envio. Envie a sua lista em /verify para checar cada caixa postal sem enviar nada. As primeiras 100 checagens são grátis com login do Google, sem cartão.

Pro, US$ 39 por mês: verificação de e-mails ilimitada.* Nunca medida, nunca cortada. Veja os preços.

*Uso justo: as primeiras 100.000 verificações do mês em velocidade máxima, depois mais devagar, nunca cortado.

Leia também: auditar todos os domínios da sua empresa, descobrir onde editar o DNS de um domínio.