Segurança do site, parte 2: DNSSEC e e-mail falso

No texto anterior eu contei o cadeado: HTTPS sempre, TLS 1.2 no mínimo e HSTS. Esta parte é outra. Agora o assunto é o nome do site.

O que eu queria resolver

Em 3 de outubro de 2026 o site pessoal foi ao ar em rodrigoesporto.com. O cadeado protege o caminho da página. Eu ainda queria proteger o nome. Ninguém desviar o visitante para um site falso. Ninguém mandar e-mail fingindo ser o site. Ninguém emitir um certificado que eu não pedi.

Trabalho durante o dia e, à noite e aos domingos, construo com agentes de IA. No painel da Cloudflare, eu cliquei. O Darth conferiu de fora. O Darth é o bot principal: recebe qualquer pedido e encaminha para o agente certo.

Eu uso a Cloudflare. Pago o domínio nela. Não estou avaliando a empresa de fora. Estou contando o segundo bloco que eu liguei no painel.

Resumo rápido

• Liguei o DNSSEC: uma assinatura no endereço, para ninguém desviar o visitante para um site falso.
• Publiquei registros contra e-mail falso, avisando ao mundo que o domínio não envia e-mail. No internet.nl, a parte de e-mail deu 100%.
• Liguei o CAA: só empresas autorizadas podem emitir certificado de segurança para o domínio.
• Liguei o Bot Fight Mode: barra robôs maliciosos.
• Quem digita www.rodrigoesporto.com vai para rodrigoesporto.com, com código 301 (“mudança permanente”), mantendo o resto do endereço.

Primeiro: o que é DNSSEC

DNS é o catálogo de endereços da internet. Você digita um nome, o catálogo responde onde fica o site. DNSSEC é uma assinatura nesse catálogo. O nome por extenso é Domain Name System Security Extensions. No dia a dia: o endereço vem com um selo, para ninguém trocar a placa na porta.

Um cartão de visita na recepção qualquer um troca. Mesmo nome, outro caminho. Um selo deixa conferir se o recado ainda é o original. O que o DNSSEC faz: a resposta do catálogo vem assinada. Se alguém no caminho trocar a resposta, a assinatura não bate.

Selo de papel você olha com os olhos. Aqui o aparelho faz um cálculo, e o visitante não percebe. O DNSSEC autentica o nome. Ele não lê a página.

O que é proteção contra e-mail falso

Registros contra e-mail falso são avisos públicos no domínio. Eles dizem ao mundo se aquele nome manda correio ou não. No meu caso, o aviso é este: este domínio não envia e-mail.

Imagine um escritório sem carta de saída. Se ninguém avisa, um golpista escreve com o nome da fachada. Se o escritório coloca um recado na portaria (“daqui não sai carta”), o correio da outra ponta tem o que conferir. Na prática, esses registros ficam no catálogo do domínio, à vista. Sistemas de e-mail olham isso antes de tratar uma mensagem como se tivesse saído dali.

A portaria não impede todo golpe. Alguém ainda pode escrever um recado que só parece ter vindo de mim, usando outro endereço. A lição: mesmo um domínio que não manda e-mail precisa dizer isso ao mundo. Silêncio ajuda quem finge.

O que é CAA

CAA é uma lista de quem pode emitir o certificado de segurança daquele nome. O nome por extenso é Certification Authority Authorization. Certificado, aqui, é o papel digital por trás do cadeado. Autoridade certificadora é a empresa que emite esse papel.

É deixar por escrito quem pode copiar a chave da loja. Um registro público no domínio diz quais empresas podem emitir certificado para aquele nome. As outras não deveriam emitir.

Chave de porta você segura na mão. Certificado é um arquivo que o navegador confere sem você ver. O CAA não tranca a página. Ele limita quem pode assinar o nome. Eu não vou listar empresas nem o texto do registro.

O que é Bot Fight Mode

Bot Fight Mode é uma chave da Cloudflare que barra robôs maliciosos. Robô, aqui, não é o assistente que eu uso para escrever. É um programa que visita o site sozinho. Malicioso, neste caso, é o que bate na porta para abusar, não para ler.

Um porteiro manda embora quem chega como máquina de ataque. A Cloudflare tenta distinguir visita de robô ruim e bloqueia o segundo. Eu não vou inventar o critério. Não tenho, nesta parte, um número de quantos foram barrados. É regra automática, no caminho até a página. Não substitui o resto da segurança.

O que é o redirecionamento do www

www é um prefixo antigo, de “World Wide Web”. Muita gente ainda digita www na frente do nome. Redirecionamento é o site responder: o endereço certo é o outro. Código 301 quer dizer “mudança permanente”. No meu caso, quem digita www.rodrigoesporto.com vai para rodrigoesporto.com, e o resto do endereço permanece.

Duas portas para a mesma loja confundem. O 301 é o cartaz “a porta da frente é esta, e é para sempre”. O navegador pede a versão com www, o site responde 301, e a versão sem www abre com o resto do caminho. A loja não mudou de prédio. O 301 evita o site viver com dois nomes. Não é segurança no sentido de cadeado.

O teste do internet.nl

internet.nl é um teste público. Ele olha, entre outras coisas, se o domínio está bem configurado para e-mail. O endereço: https://internet.nl.

Você coloca o nome do domínio e o serviço devolve notas por parte. No meu caso, a parte de e-mail deu 100%. Essa nota fala do aviso de correio, não do retrato inteiro da segurança do site.

Essa nota entrou na revisão de segurança do agente Segurança, em 3 de outubro de 2026. Segurança é o agente que confere todo dia, de fora, se o site continua seguro, sem mexer em nada.

O que eu usei

Usei o painel da Cloudflare. Usei o domínio rodrigoesporto.com, já no ar. Usei o Darth para conferir de fora enquanto eu clicava. Usei o agente Segurança para a revisão de 3 de outubro de 2026. Usei o teste do internet.nl na parte de e-mail.

Login, senha, tela de conta e o texto dos registros ficam fora deste texto.

Como foi

Se você quiser copiar a lógica, o caminho é este:

1. Tenha o site no ar num endereço próprio. No meu caso, isso já tinha acontecido.
2. No painel, ligue o DNSSEC. Quando dá certo, o endereço passa a ir com assinatura.
3. Publique os registros contra e-mail falso. No meu caso, o aviso é que o domínio não manda correio.
4. Ligue o CAA: só empresas autorizadas emitem certificado para o domínio.
5. Ligue o Bot Fight Mode. Quando dá certo, robôs maliciosos encontram uma porta fechada.
6. Redirecione o www para o endereço principal com código 301, mantendo o resto do caminho.
7. Confira de fora. Eu cliquei. O Darth conferiu de fora.
8. Olhe a parte de e-mail no internet.nl. No meu caso, deu 100%.

Eu não vou inventar a tela do painel. O que importa é o desenho: eu clico, alguém confere de fora, o nome do site deixa de ser um cartão solto na recepção.

O que deu errado ou o que eu aprendi

Desta vez eu não tenho uma mensagem de erro destas chaves para contar. O que eu tenho é o hábito de não pular o nome do site porque “eu não mando e-mail mesmo”.

DNSSEC, CAA e registro de correio soam como sigla de manual. A lição para quem está começando é outra: o silêncio no domínio vira espaço para quem finge. Mesmo um site pessoal, que não envia e-mail, precisa dizer isso ao mundo.

Nenhuma dessas ferramentas substitui julgamento. Elas encurtam o caminho entre “eu sei o que quero” e “está no ar”. Elas protegem o nome.

Custos e limites

Nesta parte eu não tenho um custo extra em dinheiro para apontar. Usei o painel da Cloudflare, no domínio que eu já pago. Tempo no clique eu também não vou inventar.

O que isso não faz: não torna o conteúdo verdadeiro, não substitui a conferência de fora e não cobre o resto da segurança do site. O 100% do internet.nl é da parte de e-mail, não de tudo. O Bot Fight Mode barra robôs maliciosos; eu não tenho número de bloqueios para mostrar.

Eu uso a Cloudflare e pago o domínio nela. A nota de e-mail veio do internet.nl, na revisão do Segurança, não de um anúncio da empresa.

O que eu faria diferente

Não deixaria “depois eu vejo o e-mail do domínio” para o dia seguinte, só porque o site não manda carta. Eu não tenho, nesta parte, um caso em que alguém fingiu ser o site. É o hábito que eu quero: falar o que o domínio faz e o que ele não faz.

Para quem serve e para quem não serve

Serve para quem colocou um site pessoal no ar e ainda não tratou o nome: assinatura no endereço, aviso de e-mail, quem emite certificado, robôs e o www. Serve se a hospedagem oferece essas chaves no painel, como a Cloudflare oferece no meu caso.

Não serve como curso de segurança. Não serve se você precisa de um relatório para empresa. Não serve para quem quer que o agente clique no lugar da gente: eu cliquei; o Darth conferiu de fora; o Segurança continua conferindo de fora, sem mexer.

Fechamento

O visitante merece chegar no endereço certo, sem um e-mail falso usando o nome do site. DNSSEC, os registros contra e-mail falso, o CAA, o Bot Fight Mode e o www com 301 cuidam desse pedaço. No internet.nl, a parte de e-mail deu 100%.

O próximo passo, se o seu site já está no ar, é olhar o nome: o domínio avisa o que faz, e o www não vira um segundo site. Se quiser acompanhar o resto desta jornada, estou no X: @RodrigoesPorto.

Na próxima parte eu conto a segurança do site, parte 3: cabeçalhos de segurança e CSP.

Fontes e links

• Teste do internet.nl: https://internet.nl
• Revisão de segurança do agente Segurança, 3 de outubro de 2026
• Painel da Cloudflare, nas chaves DNSSEC, registros contra e-mail falso, CAA, Bot Fight Mode e redirecionamento do www