Se leste o capítulo sobre tipos de registos DNS, sabes que cada registo da tua zona DNS tem um trabalho específico. Os registos A apontam para endereços IP. Os registos MX tratam do encaminhamento de email. Um registo TXT não faz nenhuma das duas coisas. Guarda uma linha de texto simples que diz a outros sistemas algo sobre o teu domínio. Esse texto pode dizer "este fornecedor de email pode enviar em meu nome" ou "sim, sou o dono deste domínio" ou "aqui está a chave para verificar as minhas mensagens."
Pensa nisto como um bilhete afixado na porta da frente. Não muda o funcionamento da tua casa. Mas qualquer pessoa que se aproxime e o leia fica a saber algo importante sobre quem lá vive e o que autorizou.
Como é um registo TXT?
Um registo TXT tem quatro partes, tal como os outros registos DNS. Eis o que cada uma faz.
- Nome de anfitrião (nome) é o domínio ou subdomínio a que o registo se aplica. Para o teu domínio principal, costuma ser "@" ou fica em branco. Para um subdomínio como mail.yourdomain.com, o nome de anfitrião seria "mail"
- Tipo diz ao sistema DNS que este é um registo TXT
- Valor é o próprio conteúdo de texto. Pode ser um código de verificação, uma política de email, uma chave pública ou qualquer outra cadeia de texto até 255 carateres por segmento
- TTL (time to live) controla durante quanto tempo os servidores DNS guardam este registo em cache antes de verificarem se há atualizações. O valor predefinido costuma ser 3600 segundos, o que equivale a uma hora
Eis como é um registo TXT simples num painel de definições de DNS.
- Nome de anfitrião definido como @
- Tipo definido como TXT
- Valor definido como "v=spf1 include:_spf.example.com ~all"
- TTL definido como 3600
Esse exemplo é um registo SPF, um dos tipos mais comuns de registo TXT. As secções abaixo explicam o que significa SPF e como funcionam os outros registos de segurança do email.
Como se usa um registo TXT para verificar um domínio?
Esta é a utilização mais simples de um registo TXT. Um serviço precisa de prova de que és o dono de um domínio. Provas isso acrescentando um registo que só o dono do domínio poderia acrescentar.
Eis como funciona o processo.
- Inscreves-te num serviço e dizes-lhe o nome do teu domínio
- O serviço dá-te um código de verificação único
- Entras nas tuas definições de DNS e acrescentas um registo TXT com esse código como valor
- O serviço verifica o teu DNS à procura do registo TXT
- Se encontrar o código, a verificação fica concluída
Porque funciona? Porque só quem tem acesso às tuas definições de DNS pode acrescentar registos lá. O código de verificação não significa nada por si só. Apenas prova que tens as chaves da zona DNS.
O que é um registo SPF?
O que significa SPF
SPF significa Sender Policy Framework. É um registo TXT que lista que servidores de correio podem enviar email usando o teu nome de domínio. Quando alguém recebe um email teu, o servidor de correio dessa pessoa verifica o teu registo SPF para ver se o servidor de envio está na lista aprovada.
O que faz um registo SPF
Sem um registo SPF, qualquer pessoa pode enviar um email que parece vir do teu domínio. Isto chama-se falsificação de email (email spoofing). É um dos truques mais antigos do phishing e funciona porque o servidor de receção não tem forma de verificar se o remetente é quem diz ser.
Um registo SPF resolve isso. É como dar aos correios uma lista de estafetas autorizados a enviar encomendas em teu nome. Se uma encomenda chegar de um estafeta que não está na lista, os correios percebem que há algo estranho.
Eis um exemplo.
v=spf1 include:_spf.mailprovider.com ~all
Isto diz três coisas.
- v=spf1 identifica isto como um registo SPF
- include:_spf.mailprovider.com significa "os servidores listados por este fornecedor de email podem enviar email para o meu domínio"
- ~all significa "se um email vier de qualquer outro servidor, trata-o como suspeito mas não o rejeites logo"
Se o "~all" fosse mudado para "-all", a regra seria mais rígida. Diria aos servidores de receção para rejeitar de vez tudo o que não esteja na lista aprovada.
O que é um registo DKIM?
O que significa DKIM
DKIM significa DomainKeys Identified Mail. Enquanto o SPF verifica quem enviou o email, o DKIM verifica se o email foi adulterado a caminho da tua caixa de entrada.
Como funciona a chave pública
Pensa no DKIM como um selo de cera numa carta. Quando o teu servidor de correio envia um email, carimba-o com uma assinatura escondida. Essa assinatura é criada com uma chave privada que só o teu servidor conhece. A chave pública correspondente fica num registo TXT no teu domínio, visível para quem olhar.
Quando o servidor de receção recebe o email, lê a tua chave pública no DNS e confronta-a com a assinatura. Se coincidirem, o email é verificado como autêntico e intacto. Se não coincidirem, o email pode ter sido alterado pelo caminho.
Não precisas de perceber a chave em si. O teu fornecedor de email gera-a e diz-te exatamente o que colar nas tuas definições de DNS. O registo TXT do DKIM costuma ficar num subdomínio parecido com "selector._domainkey.yourdomain.com."
O que é um registo DMARC?
Como o DMARC liga o SPF e o DKIM
O SPF verifica de onde veio o email. O DKIM verifica que não foi alterado. Mas o que acontece quando uma dessas verificações falha? Sem DMARC, cada servidor de receção decide por si. Alguns enviam o email para o spam. Alguns deixam-no passar. Alguns rejeitam-no. Não tens qualquer controlo.
DMARC significa Domain-based Message Authentication, Reporting, and Conformance. É um registo TXT que te põe no comando. Defines as regras para o que acontece quando um email falha o SPF ou o DKIM.
O que significam as políticas DMARC
Um registo DMARC é acrescentado como registo TXT no subdomínio "_dmarc.yourdomain.com." Eis um exemplo simples.
v=DMARC1; p=quarantine; rua=mailto:reports@yourdomain.com
Isto diz três coisas aos servidores de receção.
- v=DMARC1 identifica isto como um registo DMARC
- p=quarantine é a política. Diz ao servidor de receção para enviar os emails que falham a autenticação para a pasta de spam em vez da caixa de entrada
- rua=mailto:reports@yourdomain.com diz aos servidores para enviarem relatórios de autenticação para este endereço de email, para veres quem está a enviar email com o teu domínio
O campo da política (p=) tem três opções.
- none significa não tomar nenhuma ação, apenas enviar relatórios. É útil quando estás a configurar o DMARC pela primeira vez e queres monitorizar antes de aplicar
- quarantine significa enviar os emails que falham para o spam
- reject significa bloquear por completo os emails que falham, para nunca chegarem ao destinatário
Juntos, o SPF, o DKIM e o DMARC formam três camadas de proteção do email. O SPF é a lista de convidados. O DKIM é o selo de cera. O DMARC é o segurança que decide o que acontece quando alguém falha as duas primeiras verificações. Se estás a configurar email personalizado com o teu domínio, os três registos são importantes.
O que mais podem fazer os registos TXT?
A segurança do email e a verificação de domínios são as duas maiores utilizações, mas os registos TXT também aparecem noutros sítios.
- Verificação em motores de pesquisa. Os motores de pesquisa pedem-te para acrescentares um registo TXT para provares que és o dono de um domínio antes de te darem acesso aos dados de desempenho na pesquisa
- Políticas de segurança. Algumas organizações usam registos TXT para publicar informação de contacto de segurança ou preferências de autoridades de certificação
- Autenticação de serviços. Plataformas de análise, serviços de publicidade e outras ferramentas exigem muitas vezes um registo TXT para ligar o teu domínio à tua conta
- Metadados personalizados. Qualquer informação em texto que outros servidores ou serviços precisem de ler sobre o teu domínio pode ser guardada num registo TXT
Os registos TXT são o canivete suíço do DNS. Se um serviço precisa de verificar, autenticar ou comunicar algo sobre o teu domínio, é provável que use um registo TXT para o fazer.
Como acrescentas um registo TXT?
Acrescentar um registo TXT segue os mesmos passos de qualquer outro registo DNS. Se já acrescentaste um registo A ou MX, isto vai parecer-te familiar.
- Inicia sessão no painel de gestão de DNS onde estão definidos os servidores de nomes do teu domínio. Normalmente é o registador do domínio ou o fornecedor de alojamento
- Encontra a secção de registos DNS ou o editor de zona DNS
- Clica na opção para acrescentar um novo registo
- Seleciona TXT como tipo de registo
- Introduz o nome de anfitrião. Usa "@" para o domínio raiz ou o nome de um subdomínio específico, se o serviço o exigir
- Cola o valor exato fornecido pelo serviço que estás a configurar. Não o voltes a escrever à mão
- Define o TTL. Se não tens a certeza, usa o valor predefinido que o teu fornecedor sugere ou define-o para 3600
- Guarda o registo
Uma coisa a ter em conta. As alterações de DNS podem demorar de alguns minutos a 48 horas a espalhar-se pela internet. Isto chama-se propagação do DNS. Durante este tempo, alguns servidores podem ainda ver as definições antigas enquanto outros veem as novas. Para mais detalhe sobre este processo, lê o capítulo sobre como funciona o DNS.
Quais são os erros comuns com registos TXT?
Os registos TXT são simples de acrescentar, mas alguns erros repetidos apanham as pessoas.
- Colar o valor errado. Os valores dos registos TXT são muitas vezes longas cadeias de carateres aleatórios. Falha um caráter, acrescenta um espaço a mais e tudo deixa de funcionar. Copia e cola sempre diretamente do serviço que te deu o valor
- Vários registos SPF no mesmo domínio. Só podes ter um registo SPF por domínio. Se precisas de autorizar vários fornecedores de email, junta-os num único registo SPF com várias instruções "include". Dois registos SPF separados causam comportamento imprevisível e falhas na entrega de email
- Acrescentar o registo ao nome de anfitrião errado. Alguns registos TXT vão no domínio raiz (@), enquanto outros vão num subdomínio específico como "_dmarc" ou "selector._domainkey." Se puseres o registo no sítio errado, o serviço que o procura não o encontra
- Esquecer-te de guardar. Parece básico, mas muitos painéis de DNS exigem que cliques num botão de guardar ou confirmar depois de introduzires o registo. Se fechares a página antes de guardar, o registo não é criado
- Não esperar pela propagação. Depois de acrescentares um registo TXT, o serviço de verificação pode não o encontrar logo. Dá-lhe pelo menos 15 a 30 minutos antes de repetires a verificação
O que acontece quando os registos TXT estão errados ou em falta?
As consequências dependem do registo TXT afetado.
- Se o teu registo SPF estiver em falta ou incorreto, os teus emails têm mais probabilidade de ir parar ao spam. Os servidores de receção não têm forma de confirmar que o teu servidor de correio está autorizado, por isso jogam pelo seguro
- Se o teu registo DKIM estiver em falta, os teus emails não têm uma assinatura verificável. Alguns destinatários continuam a aceitá-los, mas os filtros de spam ficam mais desconfiados
- Se o teu registo DMARC estiver em falta, não tens controlo sobre o que acontece aos emails que falham as verificações de SPF ou DKIM. Cada servidor de receção decide por si
- Se um registo TXT de verificação for removido, o serviço que o exigia pode revogar o teu acesso ou mostrar um aviso de que a titularidade do domínio já não está confirmada
Nenhum destes problemas deixa o teu website offline. Os registos TXT não afetam o carregamento do teu site nem a forma como os visitantes chegam a ele. Mas registos TXT em falta ou com erros podem prejudicar a entregabilidade do teu email e a tua capacidade de usar serviços associados ao teu domínio.
Como a WEMASY trata dos registos TXT
Quando ligas um domínio personalizado ao teu website WEMASY, a WEMASY guia-te pelos registos DNS que precisas de acrescentar. Se estiveres a verificar o teu domínio para ferramentas de pesquisa, a WEMASY diz-te exatamente que registos TXT criar, incluindo o nome de anfitrião e o valor a colar. Os registos TXT para o email vêm do teu próprio fornecedor de email, porque o alojamento de email da WEMASY chega em breve.
A WEMASY trata do SSL e do alojamento do seu lado, por isso os registos TXT que acrescentas focam-se na verificação e na segurança do email, e não no encaminhamento. Quando os teus registos estiverem no lugar e o DNS se tiver propagado, tudo se liga automaticamente. Vê o que está incluído em cada plano na página de preços da WEMASY.
O que vem a seguir
Agora que percebes como os registos TXT funcionam para verificação e segurança do email, o próximo capítulo explica os registos NS. Os registos NS controlam que servidores de nomes são responsáveis por toda a zona DNS do teu domínio e estão na base da forma como todos os teus outros registos são encontrados. Para uma visão geral de todos os tipos de registo e de quando usar cada um, vê o capítulo sobre tipos de registos DNS.
Perguntas frequentes
Posso ter vários registos TXT no mesmo domínio?
Sim. Um domínio pode ter muitos registos TXT ao mesmo tempo. Podes ter um para SPF, um para verificação do domínio e um para DKIM num subdomínio. A única exceção é o SPF. Só deves ter um registo SPF por domínio. Se precisas de autorizar vários fornecedores de email, junta-os num único registo SPF. Com o criador de websites da WEMASY, podes configurar isto diretamente no teu website.
Um registo TXT afeta a rapidez com que o meu website carrega?
Não. Os registos TXT não têm qualquer papel no encaminhamento do tráfego do website. Só são lidos por serviços que os procuram especificamente, como servidores de correio a verificar o SPF ou ferramentas de verificação a confirmar a titularidade. A velocidade do teu website é determinada pelo teu registo A, pelo teu servidor e pela tua configuração de alojamento, não pelos teus registos TXT.
Quanto tempo demora um registo TXT a começar a funcionar?
Depende da propagação do DNS e do TTL de eventuais registos anteriores. Na maioria dos casos, um novo registo TXT fica visível em 15 a 30 minutos. A propagação completa por todos os servidores DNS do mundo pode demorar até 48 horas, embora seja raro em registos novos que não existiam antes.
Qual é o tamanho máximo do valor de um registo TXT?
Uma única cadeia de um registo TXT pode ter até 255 carateres. Se o valor precisar de ser mais longo, é dividido em várias cadeias dentro do mesmo registo. O teu fornecedor de DNS trata dessa divisão automaticamente na maioria dos casos. Os serviços que geram valores TXT longos, como as chaves DKIM, têm este limite em conta quando criam o registo por ti.
Preciso de registos TXT se não enviar email do meu domínio?
Continua a ser boa ideia. Mesmo que não envies email, acrescentar um registo SPF que diz que nenhum servidor está autorizado (v=spf1 -all) impede os spammers de falsificarem o teu domínio. Sem quaisquer registos de autenticação de email, qualquer pessoa pode enviar emails que parecem vir do teu domínio, o que pode prejudicar a tua reputação.