Segurança de domínio e DNS: um checklist prático

Por que o domínio é sua conta mais importante

Se alguém toma sua conta no registrador ou seu DNS, pode apontar seu site para o servidor dele, ler seu e-mail recebido e passar nas verificações de domínio que as autoridades certificadoras usam, de modo que o navegador mostre um cadeado válido na cópia dele. Nenhuma blindagem de servidor ajuda depois que o DNS se foi. A maior parte da proteção são alguns ajustes que você faz uma vez.

1. Proteja as contas do registrador e do DNS

• Ative a autenticação em dois fatores no registrador e no provedor de DNS (muitas vezes a mesma empresa, ou o Cloudflare).
• Use um e-mail de recuperação em um domínio diferente. Se o endereço de recuperação estiver no próprio domínio e o domínio parar de funcionar, você não consegue receber o e-mail de redefinição.
• Registre o domínio em nome da empresa, com um endereço de função compartilhado, não de um ex-funcionário ou da agência que fez o site.
• Anote quem tem acesso e remova quem saiu.

2. Nunca deixe o domínio expirar

Domínios expirados às vezes são comprados por outros em poucos dias, junto com o tráfego e os e-mails que ainda chegam. Ative a renovação automática, mantenha o cartão em dia e confira a data de expiração e os códigos de status:

whois yourdomain.com | grep -iE 'expir|status'

3. Ative a trava de transferência

Nas linhas de status acima, você quer ver clientTransferProhibited. Isso significa que o domínio não pode ser movido para outro registrador até você mesmo destravá-lo. A maioria dos registradores chama isso de “registrar lock” ou “trava de transferência”. Para domínios de alto valor, pergunte se o serviço de registry lock (travas no registro que só mudam após verificação manual) está disponível para a sua extensão.

4. Publique registros CAA

Um registro CAA lista as autoridades certificadoras autorizadas a emitir certificados para seu domínio; toda AC pública precisa consultá-lo antes de emitir. Descubra qual AC sua hospedagem ou CDN usa e publique registros como estes (este exemplo permite só a Let’s Encrypt e proíbe certificados curinga):

yourdomain.com.  3600  IN  CAA  0 issue "letsencrypt.org"
yourdomain.com.  3600  IN  CAA  0 issuewild ";"
yourdomain.com.  3600  IN  CAA  0 iodef "mailto:security@yourdomain.com"

dig +short CAA yourdomain.com

Cuidado: se sua CDN ou hospedagem emite certificados por outra AC que não está na lista, as renovações dela vão falhar. Muitas CDNs documentam quais valores CAA adicionar, e algumas os adicionam por você.

5. Ative o DNSSEC

O DNSSEC assina suas respostas DNS, para que os resolvedores que as validam consigam detectar respostas falsificadas. Ative-o no provedor de DNS e depois adicione no registrador o registro DS que ele fornece (muitos registradores fazem isso automaticamente quando também hospedam seu DNS). Confirme que o registro DS existe e que um resolvedor que valida define a flag ad (dados autenticados):

dig +short DS yourdomain.com
dig @1.1.1.1 +dnssec yourdomain.com A | grep -E 'flags:'

Um alerta: ao mudar o DNS para outro provedor, remova primeiro o registro DS (ou siga os passos de migração de DNSSEC do novo provedor); caso contrário, resolvedores que validam não vão conseguir resolver seu domínio.

6. Remova registros órfãos (tomada de subdomínio)

Um registro “órfão” aponta para um serviço que você não usa mais: um bucket de armazenamento em nuvem apagado, uma ferramenta antiga de landing pages, uma conta de hospedagem encerrada. Se outra pessoa puder reivindicar esse nome no mesmo serviço, ela controla o conteúdo do seu subdomínio, com seu domínio na barra de endereços. Liste seus subdomínios no provedor de DNS e confira para onde cada CNAME aponta:

for h in www shop blog staging old mail; do
  t=$(dig +short CNAME "$h.yourdomain.com")
  [ -n "$t" ] && echo "$h -> $t ($(dig +short "$t" | head -n1))"
done

Parênteses vazios significam que o destino não resolve mais: descubra o que era e apague o registro. Um destino que resolve ainda pode estar órfão se a conta por trás foi encerrada, então abra cada subdomínio e confirme que ele mostra o que você espera. Apague o registro DNS antes de cancelar o serviço para o qual ele aponta.

7. Proteja o e-mail do mesmo domínio

Publique SPF e DMARC para que ninguém consiga enviar e-mails que pareçam vir de você, e adicione uma chave DKIM para cada serviço que envia em seu nome. Veja SPF, DKIM e DMARC para pequenas empresas. Domínios que nunca enviam e-mail devem publicar v=spf1 -all e uma política DMARC de reject.

O que o HackGrade verifica

A análise gratuita verifica HTTPS, seu certificado e os registros SPF e DMARC do seu domínio. Ela não verifica configurações do registrador, CAA, DNSSEC nem registros órfãos, então use este checklist para isso e repita-o sempre que adicionar ou desativar um serviço.