O que é DNS? Como funciona o Sistema de Nomes de Domínio

DNS é a sigla para Domain Name System, ou Sistema de Nomes de Domínio. Trata-se de um sistema hierárquico e distribuído que traduz nomes legíveis por humanos, como registro.br ou google.com, em endereços IP numéricos que computadores e roteadores usam para se comunicar na internet. Sem ele, você precisaria decorar sequências como 104.16.249.249 para acessar qualquer site. A sigla aparece em mensagens de erro, configurações de roteador e tutoriais de hospedagem, mas poucos usuários entendem o que acontece nos bastidores.

O que é DNS?

O DNS funciona como uma lista telefônica global. Em vez de memorizar números, você digita um nome de domínio e o sistema encontra o endereço correspondente em milissegundos. A tecnologia surgiu em 1983, muito antes da web comercial, e continua operando sobre a porta UDP 53 na maior parte do tráfego legado. Apesar da idade, o protocolo permanece como um dos pilares da arquitetura da internet moderna.

A hierarquia começa nos servidores raiz e desce até o domínio específico. No Brasil, a administração dos domínios .br fica a cargo do NIC.br, que também promove iniciativas como o DNSSEC para aumentar a confiança na infraestrutura nacional. O projeto TOP, mantido pelo NIC.br, avalia periodicamente a adoção de padrões modernos em sites brasileiros, incluindo a implementação correta de DNS e IPv6.

Como funciona uma consulta DNS?

Quando você digita um endereço no navegador, o processo começa no seu próprio dispositivo. O sistema operacional mantém um cache local com respostas recentes. O navegador também possui seu próprio cache. Se o IP já estiver ali, a conexão é imediata e nenhum pacote sai da sua máquina.

Caso contrário, a requisição vai para um resolvedor recursivo. Geralmente é o servidor DNS do seu provedor de internet, mas pode ser um serviço público como o 1.1.1.1 da Cloudflare ou o 8.8.8.8 do Google. Alguns usuários no Brasil configuram manualmente esses endereços para contornar bloqueios ou melhorar a velocidade em redes congestionadas. Esse resolvedor faz o trabalho pesado: ele percorre a árvore DNS até encontrar a resposta definitiva.

O resolvedor consulta primeiro um servidor raiz. Existem 13 servidores raiz lógicos no mundo, com centenas de instâncias físicas. O raiz não sabe o IP do site, mas indica onde buscar o TLD, como .com ou .br.

Depois, o servidor TLD aponta para o servidor autoritativo do domínio. Somente esse último possui os registros oficiais. Ele devolve o IP ao resolvedor, que guarda em cache e repassa para o seu computador.

Todo esse trajeto dura menos tempo que um piscar de olhos.

Em condições normais, todo esse processo é imperceptível. Consultas frias costumam levar entre 20 e 120 milissegundos. Se a resposta já estiver em cache em algum nível, o tempo cai para quase zero.

Tipos de servidor DNS

É comum confundir os dois papéis principais. O servidor recursivo é quem faz as perguntas. Ele busca ativamente pela internet, pode cachear resultados e serve como intermediário para o usuário final. Seu objetivo é poupar o dispositivo do usuário de ter que contactar múltiplos servidores sozinho. Já o servidor autoritativo é a fonte oficial. Ele não pergunta a ninguém. Quando alguém consulta o autoritativo de exemplo.com.br, ele responde com os dados da própria zona.

Essa distinção é fundamental. Erros de configuração acontecem quando administradores tentam usar um servidor recursivo como autoritativo, ou vice-versa. O resultado é loop de resolução ou falha de propagação.

Registros DNS mais comuns

O DNS não traduz apenas nomes em IPs. Ele armazena diferentes tipos de registros para serviços variados. O registro A mapeia um domínio para um IPv4. É o mais comum. O AAAA faz o mesmo para IPv6, com endereços quatro vezes maiores. O registro MX indica os servidores de e-mail responsáveis por receber mensagens para aquele domínio. Já o CNAME cria um alias, apontando um nome para outro nome em vez de um IP direto. Existem dezenas de outros tipos, mas esses quatro cobrem a maioria das necessidades do dia a dia.

Mudar o IP de um servidor web não atualiza imediatamente todos os usuários. O tempo de propagação depende do TTL configurado nos registros DNS e do cache intermediário dos provedores.

Cada registro carrega um valor TTL, que define por quanto tempo ele pode ficar em cache. Valores baixos permitem mudanças rápidas, mas aumentam a carga nos servidores. Valores altos melhoram a performance, porém demoram mais para propagar alterações.

Como verificar DNS na prática

Ferramentas de linha de comando permitem inspecionar registros sem depender do navegador. No Linux e macOS, o utilitário dig é padrão. No Windows, o nslookup está disponível no Prompt de Comando. Ambos mostram registros, TTLs e qual servidor respondeu.

Para consultar o registro A de um domínio brasileiro com dig:

# Consulta o registro A de registro.br
dig A registro.br +short

# Saída esperada:
200.160.2.95
200.160.5.48

No Windows, o comando nslookup oferece funcionalidade similar, embora com menos detalhes técnicos:

# Windows: consulta básica com nslookup
nslookup registro.br

# Saída esperada:
Servidor:  dns.google
Address:  8.8.8.8

Nome:     registro.br
Addresses:  200.160.2.95
            200.160.5.48

Para ver a trajetória completa da resolução, incluindo os servidores consultados:

# Rastreia o caminho da resolução DNS
dig registro.br +trace

# Saída parcial:
; <<>> DiG 9.18 <<>> registro.br +trace
;; global options: +cmd
.			518400	IN	NS	a.root-servers.net.
br.			172800	IN	NS	a.dns.br.
registro.br.		300	IN	A	200.160.2.95

O comando dig também revela o TTL restante de um registro e quais servidores autoritativos respondem. Isso é útil para diagnosticar problemas de propagação após uma mudança de hospedagem. Para quem prefere interface web, o DNS Checker do Dig Trace mostra a propagação global de registros em tempo real.

DNSSEC e segurança

Em redes públicas, como Wi-Fi de aeroportos ou shoppings, o risco de interceptação é alto. O DNS tradicional envia consultas em texto claro pela porta 53. Intermediários podem ler ou alterar respostas, num ataque conhecido como envenenamento de cache.

Para combater isso, o DNSSEC adiciona assinaturas criptográficas aos registros. Ele não criptografa os dados, mas valida sua autenticidade. No Brasil, o Registro.br implementa e incentiva o uso de DNSSEC para domínios .br, reduzindo o risco de redirecionamentos maliciosos. A ativação é gratuita e pode ser feita diretamente no painel de administração do domínio.

Sem essa validação, ataques a instituições financeiras brasileiras seriam triviais.

Para privacidade, protocolos mais recentes como DoH (DNS over HTTPS) e DoT (DNS over TLS) criptografam todo o tráfego entre o usuário e o resolvedor. Navegadores como Chrome e Firefox já oferecem essa opção por padrão em algumas configurações. A Cloudflare documenta endpoints estáveis para desenvolvedores que querem implementar DoH em aplicativos.

Empresas brasileiras que lidam com dados sensíveis devem avaliar essas camadas extras, embora em ambientes corporativos elas possam dificultar a inspeção de segurança interna.

Por que o DNS importa?

O DNS é invisível até falhar. Quando um domínio não resolve, sites ficam inacessíveis, e-mails param de chegar e APIs quebram. Para donos de sites no Brasil, manter a configuração correta no painel do Registro.br e entender a diferença entre servidores recursivos e autoritativos evita horas de indisponibilidade. Um erro simples no registro MX pode silenciar toda a comunicação de uma empresa.

Usuários brasileiros em regiões com infraestrutura precária notam diferença real ao trocar de DNS. A escolha do resolvedor afeta a experiência de navegação. DNS públicos costumam oferecer velocidade superior e filtros de malware, enquanto o DNS do provedor pode registrar consultas para fins comerciais. Em conexões lentas, essa troca pode reduzir significativamente o tempo de carregamento de páginas. Muitos técnicos de redes no Brasil recomendam o teste com diferentes servidores antes de padronizar um ambiente.

Muitos conceitos de rede só fazem sentido depois que você entende a resolução de nomes. Entender o DNS é um passo natural antes de explorar ferramentas como Traceroute e MTR, que mostram o caminho dos pacotes pela rede, ou antes de aprofundar em IPv6, cujos registros AAAA dependem da mesma infraestrutura de nomes. Quando você domina como os nomes se transformam em números, o restante da arquitetura de internet fica mais claro.