Como esta ferramenta funciona
Digite um nome, escolha um tipo de registro, e o servidor envia a pergunta idêntica a 14 resolvedores DNS públicos ao mesmo tempo, por DNS-over-HTTPS. Cada resolvedor tem até 6 segundos para responder. A página então lista cada resolvedor com seu status, a resposta retornada, o TTL informado e quantos milissegundos levou.
Os resolvedores consultados são Cloudflare, Google, Quad9, OpenDNS, AdGuard, CleanBrowsing, NextDNS, Mullvad, DNS.SB, Alibaba DNS, DNSPod (Tencent), Yandex, Control D e LibreDNS. Juntos, cobrem os serviços de resolução que a maioria das pessoas e dispositivos realmente usa, que é o que importa quando a pergunta é se uma mudança está no ar para os seus visitantes.
Acima da tabela, a ferramenta resume a execução: quantos resolvedores responderam, quantos conjuntos de resposta distintos foram vistos e se as respostas são consistentes. O resultado só é marcado como consistente quando todo resolvedor que respondeu retornou exatamente o mesmo conjunto de valores e nenhum informou que o nome ou o registro está ausente.
Os resultados ficam em cache por 60 segundos por nome e tipo, e a verificação tem limite de taxa por visitante; ela serve para conferir uma mudança, não para monitoramento. Os tipos suportados são A, AAAA, CNAME, MX, NS, TXT, SOA e CAA. Para uma resposta detalhada com todos os tipos de uma vez, use a consulta DNS.
Como ler o resultado
Cada linha mostra um resolvedor. A coluna de status é a primeira a observar:
| Status | Significado |
|---|---|
| ok | O resolvedor respondeu com pelo menos um registro. Os valores estão na coluna de resposta. |
| sem registro | O nome existe, mas não tem registro do tipo solicitado. |
| nxdomain | O resolvedor diz que o nome não existe. |
| servfail | O resolvedor não conseguiu completar a consulta, muitas vezes porque os servidores autoritativos estão inacessíveis ou a zona falha na validação DNSSEC. |
| recusado | O resolvedor se recusou a responder a esta consulta. |
| inalcançável | Nosso servidor não conseguiu alcançar o resolvedor dentro do tempo limite. |
| erro | O resolvedor retornou algo que a ferramenta não conseguiu interpretar. |
Uma linha com status ok mas um endereço inesperado é a que merece investigação: aquele resolvedor está servindo uma cópia em cache de antes da sua mudança, ou os seus servidores autoritativos discordam entre si.
A coluna TTL mostra por quanto tempo aquele resolvedor manterá a resposta atual. Um resolvedor com o endereço antigo e TTL de 2.400 segundos continuará mostrando-o por mais 40 minutos. O TTL também revela se o resolvedor buscou o registro recentemente: um valor próximo do TTL configurado indica busca recente, um valor baixo indica que a entrada está prestes a expirar.
A coluna de milissegundos é o tempo de ida e volta do nosso servidor até o resolvedor; não diz nada sobre a velocidade do resolvedor para você. Vários valores em uma linha são normais para nomes com vários registros A, vários MX ou TXT longos. A verificação de consistência compara o conjunto completo, então dois resolvedores que retornam os mesmos endereços em ordem diferente ainda contam como consistentes.
O que fazer em seguida
A mudança ainda não aparece em lugar nenhum
- Consulte diretamente os servidores de nomes autoritativos em vez de um resolvedor. Rode o tipo NS aqui para obter os nomes deles e, no seu computador, use
dig @ns1.seuprovedor.com exemplo.com.br A(macOS, Linux) ounslookup exemplo.com.br ns1.seuprovedor.com(Windows). Se o servidor autoritativo ainda retorna o valor antigo, a mudança não foi salva ou foi salva em outra zona. - Confira que editou a zona para a qual o domínio realmente delega. Um domínio registrado em uma empresa e hospedado em outra tem os registros no provedor de hospedagem, não no registrador; a consulta WHOIS mostra quais servidores de nomes estão delegados.
- Se a resposta autoritativa está correta, o resto é espera. Os resolvedores atualizam quando o TTL antigo acaba.
Alguns resolvedores mostram o valor novo e outros o antigo
É a propagação normal em andamento. Nada está quebrado. As entradas antigas expiram no próprio ritmo; não é possível empurrar um registro novo a um resolvedor de fora. Se um resolvedor ainda mostra o valor antigo bem depois do TTL antigo, verifique se os dois servidores autoritativos têm a zona nova comparando os seriais do SOA.
Seu próprio dispositivo ainda mostra a resposta antiga
- Limpe o cache local:
ipconfig /flushdnsno Windows,sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponderno macOS,sudo resolvectl flush-cachesno Linux com systemd-resolved. - Limpe o cache do navegador em
chrome://net-internals/#dnsnos navegadores Chromium, ou reinicie o navegador. - Reinicie o roteador se ele roda um resolvedor com cache, como a maioria dos roteadores domésticos.
- Se o resolvedor do provedor é o retardatário, mude o dispositivo temporariamente para um resolvedor público, ou espere.
Antes da próxima mudança
Reduza o TTL dos registros que pretende mudar para 300 segundos pelo menos um período de TTL antigo antes da mudança. Faça a mudança, confirme aqui e depois suba o TTL de volta a um valor sensato, como 3.600 segundos. O verbete TTL explica o equilíbrio entre mudanças rápidas e carga nos resolvedores.
Por que os resolvedores discordam mesmo sem mudança recente
Nem toda diferença entre linhas é atraso de propagação.
Vários dos resolvedores filtram. O AdGuard bloqueia domínios de publicidade e rastreamento; o filtro de segurança do CleanBrowsing e o Quad9 bloqueiam domínios que classificam como maliciosos, e a resposta para um nome bloqueado é tipicamente NXDOMAIN ou um endereço nulo. Um domínio que resolve no Cloudflare e no Google, mas retorna NXDOMAIN nesses três, provavelmente está em uma lista de bloqueio, não despropagado.
Alguns serviços retornam endereços diferentes de propósito. Redes de distribuição de conteúdo e grandes plataformas usam a localização do resolvedor, ou a sub-rede do cliente que ele encaminha, para escolher um servidor próximo. Nesse caso cada resolvedor retorna legitimamente um endereço diferente e o resultado nunca será consistente. A consulta de IP diz se dois endereços diferentes pertencem à mesma rede, o sinal habitual de DNS geográfico.
Respostas negativas também ficam em cache. Se você consultar um nome antes de criá-lo, os resolvedores lembram que ele não existia pelo tempo de cache negativo definido no SOA. Criar o registro depois não limpa essas entradas. A regra prática: crie o registro primeiro, depois verifique.
Verificando tipos específicos de mudança
Um site novo ou uma migração de servidor. Consulte o registro A (e AAAA se o servidor tem IPv6) para o domínio nu e separadamente para www, já que são nomes diferentes e frequentemente alterados em lugares diferentes.
Uma troca de provedor de e-mail. Consulte MX. Resolvedores com os registros MX antigos continuarão entregando ao provedor antigo até expirarem, então mantenha as caixas antigas ativas por pelo menos o TTL antigo mais uma margem.
Novos servidores de nomes. Consulte NS. É a mudança mais lenta a assentar, porque a delegação fica em cache na zona pai com TTL próprio, normalmente um ou dois dias, além do cache dos próprios registros NS.
Registros de verificação e autenticação. Consulte TXT no nome exato que o provedor deu. Uma verificação que falha logo após adicionar o registro normalmente é um resolvedor que guardou uma resposta negativa quando o provedor verificou cedo demais; espere e peça ao provedor que verifique de novo em vez de editar o registro outra vez.
Limitações desta ferramenta
- Os resolvedores são grandes serviços anycast; cada um responde do nó mais próximo do nosso servidor, então a tabela não é um mapa de 14 países. Só algumas entradas, como os dois resolvedores chineses, o Yandex e o LibreDNS, estão ligadas a uma região específica.
- O resolvedor do seu provedor, o resolvedor interno da sua empresa e o seu roteador não estão incluídos. Um resultado consistente aqui não garante que todo usuário do mundo veja o valor novo.
- Resolvedores com filtro podem retornar NXDOMAIN para domínios em suas listas de bloqueio, o que parece um registro ausente.
- A ferramenta verifica um nome e um tipo por execução. Não percorre cadeias de CNAME, não valida assinaturas DNSSEC nem compara a delegação da zona pai com os registros NS da própria zona.
- Os resultados ficam em cache por 60 segundos e a verificação tem limite de taxa, então não serve como feed de monitoramento.
- Os tempos de resposta são medidos do nosso servidor e não refletem o desempenho dos resolvedores a partir da sua localização.