DNS: o que é, como funciona e principais registros
Entenda o que é DNS, como acontece a resolução de nomes e para que servem registros, cache, TTL e servidores autoritativos.
Quando você digita o endereço de um site, o navegador precisa descobrir para qual servidor deve enviar a conexão.
Ele não encontra essa máquina apenas pelo nome visível: antes, uma infraestrutura distribuída consulta registros e devolve o endereço necessário.
DNS é o Sistema de Nomes de Domínio, responsável por relacionar nomes como um domínio de site a informações técnicas, entre elas endereços IP.
Ele funciona por meio de resolvers, servidores raiz, servidores de domínios de topo, servidores autoritativos e caches.
Neste guia, você entenderá cada etapa da resolução, os principais registros, o papel do TTL, erros frequentes e cuidados de segurança — sem tratar o DNS apenas como uma “lista telefônica da internet”.
O que é DNS?
DNS significa Domain Name System. É um sistema hierárquico e distribuído que armazena informações associadas a nomes.
A explicação da ICANN sobre DNS destaca sua função de permitir o uso de nomes legíveis em vez de exigir que pessoas memorizem endereços IP.
A associação entre nome e IP é a mais conhecida, mas não é a única. O DNS também informa servidores de e-mail, delegações, verificações de domínio, chaves de segurança e outros dados.
Ele não transporta a página do site: apenas fornece informações para que a próxima conexão possa acontecer.
Por que o DNS é necessário?
Endereços de servidores podem mudar, enquanto um domínio permanece. Isso desacopla a identidade pública de um serviço da infraestrutura atual.
Um site pode migrar de hospedagem ou distribuir tráfego entre endereços sem pedir que usuários aprendam um novo nome.
O DNS também divide a administração. A raiz delega domínios de topo; estes indicam servidores responsáveis por domínios registrados; e cada proprietário administra seus registros.
Essa estrutura evita depender de uma única tabela central com todos os nomes da internet.
Para entender como domínio, hospedagem e publicação se combinam, consulte o guia sobre como colocar um site no ar.
Como funciona uma consulta DNS
Quando um aplicativo precisa resolver um nome, normalmente consulta um resolvedor configurado pelo sistema operacional ou roteador.
Esse resolver verifica o cache. Se não houver resposta válida, ele procura a informação na hierarquia e devolve o resultado ao cliente.
- O navegador e o sistema verificam caches locais.
- A consulta chega ao resolver recursivo.
- O resolver procura uma indicação na zona raiz.
- O servidor do domínio de topo informa a delegação do domínio.
- O servidor autoritativo responde com o registro solicitado.
- O resolver guarda a resposta pelo período permitido e a entrega ao cliente.
Nem toda consulta percorre todas essas etapas. Caches em vários níveis frequentemente possuem a resposta ou uma delegação útil, reduzindo latência e carga.
Resolver recursivo e servidores autoritativos
O resolver recursivo trabalha em nome do cliente para encontrar uma resposta e armazená-la temporariamente.
Pode ser operado pelo provedor de internet, empresa ou serviço público. Já o servidor autoritativo publica os dados oficiais de uma zona sob sua responsabilidade.
Essa diferença ajuda no diagnóstico. Alterar um registro no painel modifica a fonte autoritativa; resolvers que ainda possuem a resposta antiga podem continuar entregando-a até a expiração do cache.
A hierarquia do DNS
No topo está a zona raiz. Abaixo ficam domínios de topo como .com, .org e domínios de países. Depois aparecem domínios registrados e seus subdomínios. A IANA descreve a zona raiz como a parte mais alta dessa hierarquia.
Costuma-se falar em 13 servidores raiz, mas isso se refere a 13 autoridades nomeadas. A lista da IANA sobre root servers explica que elas são atendidas por centenas de servidores distribuídos em vários países.
Principais tipos de registros DNS
| Registro | Função | Exemplo de uso |
|---|---|---|
| A | Associa nome a endereço IPv4 | Site em servidor IPv4 |
| AAAA | Associa nome a endereço IPv6 | Site acessível por IPv6 |
| CNAME | Cria um alias para outro nome | Subdomínio apontando para serviço |
| MX | Indica servidores de e-mail | Recebimento de mensagens |
| TXT | Publica texto estruturado ou verificações | SPF e validação de domínio |
| NS | Indica servidores autoritativos | Delegação da zona |
| SOA | Metadados centrais da zona | Autoridade e temporizações |
| PTR | Relaciona endereço a nome | DNS reverso |
A especificação de protocolo e formatos aparece na RFC 1035. Cada tipo tem regras próprias; um CNAME, por exemplo, não deve ser usado como substituto universal de qualquer registro.
O que são cache e TTL?
Cache evita repetir consultas e melhora o tempo de resposta. TTL, ou Time to Live, indica por quanto tempo uma resposta pode permanecer armazenada antes de precisar ser consultada novamente.
Um TTL alto reduz consultas, mas prolonga a presença de respostas antigas após mudanças.
Um valor baixo acelera novas consultas, porém aumenta carga. Antes de uma migração planejada, equipes podem reduzir o TTL com antecedência e elevá-lo novamente após a estabilização.
“Propagação de DNS” normalmente descreve caches expirando em momentos diferentes, não uma cópia instantânea enviada para todos os servidores do mundo.
DNS usa UDP ou TCP?
DNS tradicional usa frequentemente UDP na porta 53 por sua eficiência, mas também usa TCP. Respostas maiores, transferências de zona e situações específicas podem exigir TCP.
Implementações modernas precisam suportar os comportamentos definidos pelos padrões, sem assumir que DNS significa somente UDP.
DNS público, privado e local
O DNS público resolve nomes acessíveis pela internet. Redes corporativas podem manter zonas privadas para serviços internos.
O arquivo hosts do computador também pode associar nomes localmente antes ou fora de determinadas consultas.
Respostas diferentes conforme a origem são usadas em arquiteturas internas e distribuição geográfica.
Essa flexibilidade exige documentação: dois usuários podem receber destinos distintos sem que exista erro.
Segurança: DNSSEC, DoH e DoT
DNSSEC permite validar assinaturas e a autenticidade dos dados recebidos na cadeia de confiança. Ele não criptografa a consulta.
DNS over HTTPS e DNS over TLS protegem o transporte entre cliente e resolver, mas não substituem DNSSEC nem garantem que o destino final seja seguro.
Configuração incorreta, sequestro de conta do provedor e registros abandonados podem redirecionar tráfego. Controle de acesso, autenticação multifator e monitoramento são parte da segurança da infraestrutura.
Como configurar DNS de um domínio
- Confirme quais servidores autoritativos administram a zona.
- Mapeie os registros atuais antes de alterar.
- Crie ou atualize A, AAAA, CNAME, MX e TXT conforme o serviço.
- Defina TTL coerente com estabilidade e futuras mudanças.
- Valide a resposta diretamente no servidor autoritativo.
- Confira resolvers diferentes e mantenha possibilidade de reversão.
Apontar o domínio para um servidor não configura automaticamente a aplicação. O web server ainda precisa reconhecer o host, servir o certificado correto e encaminhar a requisição. O guia de configuração do Nginx ajuda nessa etapa.
Problemas comuns e diagnóstico
- NXDOMAIN: o nome consultado não existe segundo a resposta.
- SERVFAIL: o servidor não conseguiu concluir a resolução.
- Resposta antiga: algum cache ainda respeita o TTL anterior.
- Delegação incorreta: registrar e zona discordam sobre os nameservers.
- CNAME quebrado: o alias aponta para um nome inexistente.
- E-mail falhando: MX, SPF, DKIM ou políticas relacionadas estão incompletos.
Ferramentas como dig e nslookup mostram respostas, servidor consultado, tipo de registro e tempos. Compare a resposta do autoritativo com a de resolvers públicos. Em uma VPS configurada na nuvem, verifique também firewall, serviço web e portas.
Boas práticas
- Mantenha inventário e histórico dos registros.
- Use acesso mínimo e autenticação multifator no provedor.
- Não remova registros desconhecidos sem investigar dependências.
- Planeje TTL antes de migrações.
- Monitore expiração do domínio e alterações da zona.
- Remova apontamentos para serviços desativados.
- Teste e-mail, site e subdomínios após mudanças.
Quando o destino usa um intermediário, o DNS pode apontar para a infraestrutura responsável, enquanto um proxy reverso com Nginx encaminha o tráfego dentro do ambiente.
Perguntas frequentes
DNS e endereço IP são a mesma coisa?
Não. O IP identifica um destino na rede; o DNS fornece informações associadas a nomes, incluindo endereços IP.
Trocar o DNS deixa a internet mais rápida?
Pode reduzir o tempo de resolução em alguns casos, mas não aumenta diretamente a velocidade da conexão ou do servidor do site.
Quanto tempo uma alteração de DNS demora?
Depende do TTL anterior, dos caches e da delegação. Algumas respostas mudam rapidamente; outras permanecem armazenadas até expirar.
Se o DNS falhar, o site sai do ar?
O servidor pode continuar funcionando, mas novos clientes sem resposta em cache não conseguem descobrir seu endereço pelo domínio.
CNAME é um redirecionamento de página?
Não. CNAME cria um alias no DNS; redirecionamento HTTP ocorre depois que a conexão com um servidor já foi estabelecida.
Limpar o cache local resolve propagação?
Resolve apenas respostas guardadas no dispositivo. O roteador ou resolver recursivo ainda pode manter a entrada anterior.
Conclusão
DNS é uma infraestrutura distribuída que conecta nomes a dados técnicos.
Resolvers procuram respostas, servidores autoritativos publicam zonas, a hierarquia distribui responsabilidade e o cache reduz tempo e carga.
Entender registros, TTL, delegação e segurança evita diagnósticos baseados apenas em “esperar propagar”.
Quando uma mudança falhar, descubra qual servidor respondeu, qual dado entregou e por quanto tempo ele pode ser armazenado.
Essa sequência transforma um problema aparentemente invisível em uma investigação objetiva.