1. Início
  2. Ferramentas grátis
  3. Verificador de DNSSEC

Verificador de DNSSEC: este domínio está assinado e a assinatura valida?

Em resumo: Cole um domínio ou uma lista e veja quais estão assinados e validam, quais estão quebrados (resolvedores que validam os recusam), quais têm chaves mas não têm DS no registro e quais não estão assinados. Limite: Pergunta a um único resolvedor público que valida: não percorre a cadeia por conta própria, não verifica cada servidor de nomes separadamente nem a validade das assinaturas, e só olha o domínio registrado.

Um verificador de DNSSEC diz se um domínio está assinado e se as assinaturas validam. Cole um domínio, ou até 100 (500 depois de entrar com o Google): cada um é consultado pelo registro DS no registro e pelos registros DNSKEY no provedor de DNS, por meio de um resolvedor público que valida, e volta como Signed and valid, Broken, Keys but no DS ou Not signed.

DS and DNSKEY asked of a validating public resolver over HTTPS; nothing is sent to the domain. 100 domains a run, or 500 when you sign in.

A ferramenta é a mesma da versão em inglês: os botões e os motivos de cada resultado aparecem em inglês. Atualizado em 5 de novembro de 2026 · Equipe SimpleVerifier

Como verificar se um domínio tem DNSSEC ativo

  1. Cole um domínio, ou uma lista com um por linha: até 100 por rodada, ou 500 depois de entrar grátis com o Google. Endereços de e-mail e URLs funcionam; subdomínios são reduzidos ao nome registrado.
  2. Clique em Check DNSSEC. Os registros DS e DNSKEY de cada domínio são pedidos ao Google Public DNS via HTTPS, com a Cloudflare como reserva.
  3. Leia o status e os motivos: as key tags e os algoritmos encontrados, se o DS corresponde a uma chave e se o resolvedor validou a resposta.
  4. Corrija primeiro os Broken, porque resolvedores que validam recusam esses domínios. Para Keys but no DS, copie o registro DS do seu provedor de DNS nas configurações de DNSSEC do seu registrador.

Como funciona a validação DNSSEC?

O DNSSEC adiciona assinaturas às respostas DNS para que um resolvedor saiba que elas não foram forjadas (RFC 4033). O provedor de DNS do domínio assina a zona e publica suas chaves públicas como registros DNSKEY. O registro publica um registro DS, uma impressão digital da chave de assinatura de chaves, na zona superior (.com, .org e assim por diante). Um resolvedor que valida segue a cadeia desde a chave da raiz, passando por cada DS, até as chaves do domínio (RFC 4035).

Este verificador pede os dois registros a um resolvedor que valida, com a flag AD (dados autenticados) solicitada, como descreve o RFC 6840. Se o resolvedor marca AD, a cadeia validou. Se ele responde SERVFAIL mas responde com a verificação desativada, a cadeia existe mas falha: isso é Broken.

O que significam os status?

Signed and valid: DS no registro, DNSKEY na zona, e o resolvedor validou. Broken: há um DS publicado, mas as chaves ou assinaturas da zona não correspondem a ele, então resolvedores que validam se recusam a responder pelo domínio. É o que precisa ser corrigido agora; a causa comum é mudar para um novo provedor de DNS sem remover o DS antigo no registrador.

Keys but no DS: o provedor de DNS assina a zona, mas o DS nunca foi adicionado no registrador, então nada é validado. Signed, not validated: os dois estão publicados, mas o resolvedor não validou, geralmente por um algoritmo que ele não suporta. Not signed: nenhum dos dois registros existe, o que ainda é o caso da maioria dos domínios.

Quais algoritmos DNSSEC um domínio deve usar?

O RFC 8624 lista quais algoritmos quem assina e quem valida deve usar. ECDSAP256SHA256 (algoritmo 13) e RSASHA256 (8) são os dois que todo assinante deve suportar; RSAMD5, DSA e ECC-GOST não devem ser usados para assinar, e RSASHA1 (5 e 7) não é recomendado. Para os digests DS, SHA-256 (tipo 2) é obrigatório e SHA-1 não deve ser usado em novas delegações. O verificador nomeia cada algoritmo pelo registro de algoritmos DNSSEC da IANA e marca os fracos.

Perguntas frequentes

Como sei se o DNSSEC está ativo?
Procure um registro DS do domínio na zona superior e registros DNSKEY na zona do próprio domínio. Este verificador pede os dois e mostra se um resolvedor que valida aceitou a cadeia.
O que acontece se o DNSSEC estiver quebrado?
Resolvedores que validam, como Google Public DNS, Cloudflare 1.1.1.1 e Quad9, retornam SERVFAIL para o domínio, então o site e o e-mail dele param de funcionar para todos que os usam. Remover o registro DS antigo no registrador resolve quando os caches expiram.
Onde eu ativo o DNSSEC?
Em dois lugares. Ative a assinatura no seu provedor de DNS (por exemplo Cloudflare ou Route 53) e copie o registro DS que ele fornece nas configurações de DNSSEC do seu registrador. Se o registrador também é o provedor de DNS, muitas vezes é um único botão.
Posso verificar o DNSSEC de vários domínios de uma vez?
Sim. Cole até 100 domínios por rodada, ou 500 depois de entrar grátis com o Google, e baixe os resultados em CSV.
O DNSSEC afeta a entregabilidade de e-mail?
Não estar assinado não prejudica a entregabilidade. DNSSEC quebrado prejudica: servidores de e-mail que validam não conseguem consultar os registros MX, SPF ou DKIM do domínio, então o e-mail de e para ele falha. O verificador de domínio para cold email confere esses registros.
O verificador de DNSSEC é grátis?
Sim. 100 domínios por rodada sem conta e 500 depois de entrar grátis com o Google, sem cartão.

Tem uma lista? Os primeiros 100 endereços são grátis.

Entre com o Google, cole os endereços ou envie um CSV e cada um passa pela checagem SMTP real da caixa postal, com o resultado de cada linha para baixar. 100 verificações grátis, sem cartão.

Domínios catch-all e servidores que não respondem saem como arriscado, nunca como válido.

Ao continuar, você aceita os Termos de Uso e a Política de Privacidade. Terms · Privacy

Ferramentas grátis em português

Pronto para limpar suas listas de e-mail?

Checagem SMTP real, sem créditos e sem cobrança por e-mail.

Começar agora

Cancele quando quiser • Sem configuração