Registos glue e delegação DNS explicados

Avançado⏱ 4 min de leituraAtualizado em 13 de outubro de 2026

O seu domínio não começa na sua zona DNS. Começa um nível acima, na zona de .com ou .pt, onde o registo guarda alguns registos que dizem que servidores de nomes respondem por si. Essa passagem chama-se delegação. Quando esses servidores têm nomes dentro do próprio domínio que servem — ns1.example.com para example.com —, o registo tem também de guardar os seus endereços. Esses endereços são o glue e, se estiverem errados, o domínio inteiro desaparece.

Como funciona a delegação

Quando define os servidores de nomes no registrar, o registo publica registos NS do seu domínio na zona-mãe. Se os nomes dos servidores estiverem dentro do seu domínio, acrescenta também os seus endereços:

; in the .com zone (run by the registry), not in yours
example.com.        172800 IN NS  ns1.example.com.
example.com.        172800 IN NS  ns2.example.com.
; glue: addresses of nameservers named inside the delegated zone
ns1.example.com.    172800 IN A   192.0.2.53
ns2.example.com.    172800 IN A   198.51.100.53

Sem esses registos A, um resolver ficaria preso: para encontrar example.com tem de perguntar a ns1.example.com, e para encontrar ns1.example.com tem de perguntar aos servidores de example.com. O glue chega na mesma resposta de delegação e quebra o ciclo.

Como o glue quebra o ciclo1NS + glue2Resolver.comzona-mãens1.example.com192.0.2.53
Para chegar a example.com precisa de ns1.example.com, que está dentro de example.com. O servidor .com entrega o seu endereço (glue) com a delegação, para o resolver o consultar diretamente.

Quando o glue é necessário

DomínioServidor de nomesGluePorquê
example.comns1.example.comObrigatórioO servidor está dentro da zona que serve — o ciclo descrito acima.
example.comns1.dnshost.exampleNão é usadoO resolver encontra dnshost.example em separado, pela delegação própria.
example.comns1.example.orgOpcionalGlue «irmão»: alguns registos publicam-no, mas os resolvers têm de se arranjar sem ele (RFC 9471).

Ter servidores de nomes próprios (child nameservers)

O DNS alojado (Cloudflare, o seu registrar, a sua empresa de alojamento) dá-lhe servidores de nomes no domínio deles, por isso não tem glue para gerir. Só precisa dele para servidores com nome dentro do seu domínio — servidores de nomes com a sua marca ou DNS próprio. Os registrars chamam-lhe «child nameservers», «registos de host», «registar servidores de nomes» ou simplesmente «registos glue».

  1. Crie os nomes de host (ns1.example.com, ns2.example.com) com os endereços IPv4 e, se tiverem, IPv6 no painel do registrar.
  2. Acrescente os mesmos registos A/AAAA e NS na sua zona, para que a zona-mãe e os seus servidores digam o mesmo.
  3. Só depois mude os servidores de nomes do domínio para esses nomes.
  4. Verifique o resultado do lado do registo com dig +norec (abaixo) e de fora com um trace DNS.
Atenção: Mudar o IP de um servidor de nomes significa mudá-lo em dois sítios: na sua zona e no glue do registrar. Os resolvers usam primeiro o glue, por isso uma zona correta com glue desatualizado continua a falhar — e com um TTL da zona-mãe de até dois dias, a falha prolonga-se.

Problemas de delegação comuns

  • Lame delegation: um servidor de nomes indicado na zona-mãe não responde pela zona (servidor errado, zona apagada, firewall). Os resolvers tentam outro, por isso nota-se como lentidão e SERVFAIL ocasional.
  • Pai e filho não coincidem: o registo indica ns1/ns2 e a sua zona ns3/ns4. O conjunto que cada resolver usa depende da cache dele, por isso o comportamento varia entre redes.
  • Glue desatualizado: o servidor mudou, o glue não. Típico depois de migrar um VPS.
  • Glue em falta: servidores dentro da zona sem endereços no registo — o domínio não resolve em lado nenhum.
  • Todos os ovos no mesmo cesto: dois servidores de nomes no mesmo IP ou na mesma rede. O RFC 2182 pede servidores que não falhem em conjunto.

Como verificar a delegação e o glue

Pergunte diretamente a um servidor da zona-mãe, sem recursão, para ver exatamente o que o registo publica — o glue aparece na secção ADDITIONAL. Depois compare com o que dizem os seus próprios servidores:

# ask a .com server directly, without recursion: glue is in the ADDITIONAL section
dig @a.gtld-servers.net example.com NS +norec
# follow the whole chain from the root
dig example.com A +trace
# compare with what your own nameservers say
dig @ns1.example.com example.com NS +short
Dica: O trace DNS do PixDNS segue a cadeia desde a raiz e mostra cada delegação, por isso um glue em falta ou desatualizado vê-se no passo exato em que acontece. A consulta NS compara os servidores de nomes que respondem.
Seguir a delegação de um domínio →A seguir: o que são servidores de nomes →

Perguntas frequentes

Preciso de registos glue com a Cloudflare ou o DNS do meu registrar?

Não. Os servidores de nomes deles estão nos seus próprios domínios e são eles que gerem os endereços. O glue só importa para servidores com nome dentro do seu domínio.

Onde se editam os registos glue?

No registrar, numa secção chamada child nameservers, registos de host ou semelhante. A sua zona DNS não os consegue mudar, porque estão na zona-mãe.

Quanto tempo demora uma alteração de glue?

O registo costuma publicá-la em minutos, mas os resolvers podem manter o endereço antigo até expirar o TTL da zona-mãe — até 48 horas em .com.

O que é uma lame delegation?

Um servidor de nomes indicado para um domínio que, na verdade, não responde por ele. Torna as consultas mais lentas e pode causar falhas intermitentes.

Experimente no seu domínio

Veja a teoria na prática — execute Rastreio DNS para o seu próprio domínio.

Atualizado em 13 de outubro de 2026

Fontes
Artigos relacionados
O que são servidores de nomes? → Migrar de fornecedor DNS com segurança → Corrigir NXDOMAIN e SERVFAIL →