Verificar a propagação de alterações de DNS e IP em domínios

Quando altera um registo, o valor novo deve aparecer primeiro em todos os servidores DNS autoritativos da zona. Os resolvers que já tinham consultado o valor anterior podem conservá-lo em cache até expirar o TTL que tinha antes da alteração.

Numa mudança de servidores DNS intervêm também a delegação publicada pela zona-mãe e as caches dos registos NS. Se o domínio utilizar DNSSEC, também é preciso verificar se o registo DS publicado pela zona-mãe corresponde à nova configuração.

Por este motivo, não existe um prazo fixo para todas as alterações. O resultado depende do tipo de modificação, dos TTL anteriores, de quando cada resolver fez a consulta e da possível cache negativa de respostas como NXDOMAIN.

Verifique a alteração por esta ordem:

1. Se mudou os servidores DNS, verifique a delegação NS e, quando aplicável, o DS.
2. Consulte o registo exato em cada servidor autoritativo e confirme que todos devolvem o valor esperado.
3. Verifique separadamente os registos A e AAAA; um registo IPv6 antigo pode encaminhar parte das ligações para o destino anterior.
4. Só depois compare os resolvers públicos e o resolver da ligação afetada.

Para o primeiro passo pode usar o diagnóstico DNS do IPeek, uma ferramenta externa gratuita. Compara os servidores NS publicados pela zona-mãe com os que os servidores do domínio anunciam, indica se há registo DS e verifica se cada servidor autoritativo responde com o mesmo número de série SOA. Não mostra o valor de outros registos em cada servidor e guarda o resultado durante 10 minutos.

Se o valor novo não aparecer nos servidores autoritativos, esperar que uma cache expire não corrigirá a configuração. Consulte o diagnóstico avançado de registos antes de continuar.

A nossa ferramenta de propagação DNS lê o valor nos servidores autoritativos e compara-o com o que respondem vinte resolvers públicos de operadores diferentes, com o tempo que resta à cópia de cada um. Não verifica todas as ligações da Internet nem representa necessariamente o resultado que cada utilizador obterá.

Introduza o domínio ou subdomínio exato e selecione o tipo de registo. Reveja o valor devolvido por cada servidor, não apenas o ícone:

• Um resultado com o valor esperado confirma apenas a resposta desse resolver nesse momento.
• Um valor anterior pode vir da sua cache.
• Uma resposta vazia ou diferente pode corresponder a NXDOMAIN, à ausência desse tipo de registo, a um tempo de espera esgotado, a SERVFAIL ou a uma falha de DNSSEC.
• Uma marca verde em todos os servidores testados não garante uma propagação de 100 % para todos os utilizadores.

Anote o nome consultado, o tipo de registo, o valor esperado, a resposta obtida e a data e hora. Se a alteração fizer parte de uma migração, mantenha o fornecedor anterior até verificar o DNS, a web, o HTTPS, o email e os dados pendentes a partir do destino.

Se só falhar um navegador ou uma ligação

O navegador pode utilizar DNS seguro com um resolver diferente do configurado no sistema. Anote ambos antes de comparar resultados. Apagar os cookies não atualiza os DNS autoritativos nem a cache de um resolver público.

Reduzir o TTL depois de mudar o IP não encurta o tempo que resta a uma resposta antiga já guardada. Numa migração prevista, reduza o TTL com antecedência e deixe expirar o valor anterior antes da alteração. Mantenha os dois destinos disponíveis durante a transição para evitar perder operações.