DNS Glossary

Definições rápidas e em linguagem simples dos termos de DNS com que se vai deparar. Os termos com guia próprio estão ligados.

Resolver: Um servidor que consulta registos DNS em seu nome — normalmente o do seu fornecedor de Internet ou um público como o 8.8.8.8 ou o 1.1.1.1. Também chamado resolver recursivo.
Servidor de nomes autoritativo: O servidor que contém os registos DNS reais de um domínio — a fonte de verdade que os resolvers acabam por consultar.
Zone: Uma parte do espaço de nomes DNS gerida como uma unidade — normalmente um domínio e os seus subdomínios, definida por um ficheiro de zona no servidor de nomes autoritativo.
TTL (Time To Live): Durante quantos segundos um resolver pode manter um registo em cache antes de voltar a consultar o servidor de nomes autoritativo.
Propagation: O tempo que uma alteração de DNS demora a chegar a todos os resolvers do mundo, determinado pelo TTL anterior.
NXDOMAIN: Uma resposta autoritativa que indica que o nome consultado não existe na zona.
SERVFAIL: O resolver não conseguiu concluir a consulta — servidores inacessíveis, delegação partida ou validação DNSSEC falhada.
Ápex da zona / domínio raiz: O domínio simples, sem subdomínio (example.com, não www.example.com). Aqui não são permitidos registos CNAME.
DNSSEC: Um conjunto de extensões que assinam criptograficamente os registos DNS para que os resolvers possam verificar que as respostas não foram forjadas.
DoH (DNS over HTTPS): Consultas DNS cifradas e enviadas por HTTPS, impedindo a escuta ou a adulteração no percurso de rede.
DoT (DNS over TLS): Consultas DNS cifradas numa ligação TLS dedicada — o mesmo objectivo do DoH, com outro transporte.
SPF: Um registo TXT do DNS que indica que servidores de correio estão autorizados a enviar e-mail por um domínio.
DKIM: Uma assinatura criptográfica acrescentada ao correio enviado para que os destinatários possam verificar que não foi alterado em trânsito.
DMARC: Um registo de política que indica aos servidores de correio receptores o que fazer quando o SPF e o DKIM falham ambos, e que fornece relatórios.
Glue Record: Um registo A de um servidor de nomes que vive dentro do domínio que serve (por exemplo ns1.example.com para example.com), necessário para evitar uma consulta circular.
Registo wildcard: Um registo que usa * como nome de anfitrião (*.example.com) e que corresponde a qualquer subdomínio não definido de outra forma.
SOA (Start of Authority): Um registo com os metadados da zona: servidor de nomes primário, contacto administrativo, número de série e valores de temporização da cache.
Delegation: Apontar um subdomínio ou zona para outro conjunto de servidores de nomes através de registos NS, entregando a autoridade sobre essa parte do espaço de nomes.
Envenenamento de cache: Injectar uma resposta DNS forjada na cache de um resolver para desviar tráfego — exactamente o ataque que o DNSSEC pretende impedir.
Tomada de Controlo de Subdomínio: Reivindicar um subdomínio cujo registo DNS ainda aponta para um serviço de terceiros abandonado pelo proprietário original, permitindo a um atacante servir conteúdo aí sob o domínio de confiança.
Ataque de amplificação: Uma técnica de DDoS que envia uma pequena consulta falsificada a um resolvedor aberto para que inunde o endereço de origem falsificado com uma resposta muito maior, multiplicando a largura de banda do atacante.
Resolvedor aberto: Um resolvedor DNS que responde a consultas recursivas de qualquer endereço IP na internet em vez de apenas da sua própria rede, tornando-o utilizável como refletor em ataques de amplificação.
Anycast: Uma técnica de encaminhamento em que o mesmo endereço IP é anunciado a partir de muitos locais físicos, pelo que uma consulta é automaticamente respondida pelo mais próximo.
Códigos de estado EPP: Códigos padronizados (ex. clientTransferProhibited, serverHold) que um registo WHOIS usa para mostrar o que o registrar ou o registry de um domínio bloqueia ou restringe atualmente.
CGNAT (NAT de operador): Uma configuração em que um ISP partilha um único endereço IP público entre muitos clientes, o que pode tornar pouco fiável a localização ou identificação baseada em IP.
Happy Eyeballs: Um algoritmo que o software cliente usa para tentar ligações IPv6 e IPv4 em paralelo e manter a que ligar primeiro, tornando a adição de registos AAAA pouco arriscada.
RRL (limitação da taxa de respostas): Uma defesa em servidores autoritativos que limita respostas idênticas repetidas enviadas para a mesma origem aparente, atenuando ataques de amplificação DNS.
BCP38: Uma boa prática de filtragem de rede que bloqueia pacotes que saem de uma rede com um endereço de origem falsificado, travando ataques de amplificação na sua origem em vez de no seu alvo.