Delegação de Domínio Explicada: Um Guia Completo sobre Autoridade DNS e Gerenciamento de Subdomínios

Quer esteja a lançar um novo website, a dimensionar uma infraestrutura complexa, ou simplesmente a tentar compreender como a internet resolve nomes de domínio, a delegação de domínio é um conceito que não pode ignorar. Situa-se no coração do Sistema de Nomes de Domínio (DNS) e determina como a autoridade sobre nomes de domínio é distribuída pela internet.

Este guia decompõe tudo o que precisa de saber sobre delegação de domínio — o que é, como funciona, os seus componentes principais, e as melhores práticas que mantêm a sua infraestrutura DNS fiável e performante.

O Que É Delegação de Domínio?

A delegação de domínio é o processo de transferência do controlo autoritário sobre um domínio específico ou subdomínio para um conjunto designado de servidores de nomes. Em termos práticos, significa dizer à internet: *”Para questões sobre este domínio ou subdomínio, pergunte a estes servidores de nomes — eles estão encarregados.”*

Quando uma consulta DNS é feita para um domínio, os resolvedores seguem uma cadeia de autoridade. A delegação de domínio define essa cadeia. Sem ela, o sistema DNS — que processa biliões de consultas todos os dias — não teria forma estruturada de distribuir responsabilidade por milhões de domínios.

A delegação de domínio não é apenas uma formalidade técnica. Afeta diretamente:

• Disponibilidade do website — delegação incorreta leva a falhas de resolução DNS
• Entregabilidade de email — registos MX devem ser alcançáveis através de servidores de nomes adequadamente delegados
• Segurança — delegação mal configurada pode expor domínios a sequestro ou falsificação
• Performance — delegação bem estruturada reduz a latência de pesquisa DNS

Se está a registar um novo domínio e precisa de uma base fiável para construir, o Registo de Domínio com AlexHost oferece-lhe controlo total sobre as suas definições DNS desde o primeiro dia.

Componentes Principais da Delegação de Domínio

Compreender a delegação de domínio requer familiaridade com os seus blocos de construção principais. Cada componente desempenha um papel específico na hierarquia DNS.

1. O Domínio Pai

O domínio pai é o domínio que se situa acima do domínio delegado na hierarquia DNS. Contém os registos NS (Servidor de Nomes) que apontam os resolvedores para os servidores de nomes autoritários do domínio filho.

Exemplo: Se está a delegar sub.example.com, o domínio pai é example.com. A zona DNS para example.com contém os registos NS que delegam autoridade para sub.example.com a um conjunto diferente de servidores de nomes.

No topo da hierarquia situam-se os servidores de nomes raiz, que delegam autoridade aos registos de Domínio de Topo (TLD) (como .com, .net, ou .org). Esses registos TLD, por sua vez, delegam autoridade aos servidores de nomes do seu registador de domínio.

2. O Domínio Filho

O domínio filho é o domínio ou subdomínio que está a ser delegado — a entidade que recebe autoridade. No exemplo acima, sub.example.com é o domínio filho.

Os domínios filhos podem ser:

• Subdomínios (por exemplo, api.example.com, mail.example.com, shop.example.com)
• Domínios completos de segundo nível (por exemplo, example.com delegado do registo TLD .com)

3. Registos NS (Registos de Servidor de Nomes)

Os registos NS são o mecanismo fundamental da delegação. Especificam quais servidores de nomes são autoritários para um domínio ou subdomínio específico. Quando um resolvedor DNS encontra um registo NS durante uma pesquisa, sabe que deve consultar esses servidores de nomes para obter mais informações.

; NS records in the example.com zone delegating sub.example.com
sub.example.com.    IN    NS    ns1.childnameserver.com.
sub.example.com.    IN    NS    ns2.childnameserver.com.

A melhor prática dita ter pelo menos dois registos NS (primário e secundário) para garantir redundância. Se um servidor de nomes ficar indisponível, o outro continua a servir respostas DNS.

4. Registos de Cola

Os registos de cola são um tipo especial de registo DNS que resolve um problema comum de dependência circular. Considere este cenário:

• Quer delegar sub.example.com para ns1.sub.example.com
• Mas para encontrar ns1.sub.example.com, um resolvedor deve primeiro consultar sub.example.com
• Isto cria um ciclo infinito

Os registos de cola resolvem isto ao incluir o endereço IP do servidor de nomes diretamente na zona pai, contornando a pesquisa circular.

; Glue records in the example.com zone
ns1.sub.example.com.    IN    A    203.0.113.10
ns2.sub.example.com.    IN    A    203.0.113.11

Os registos de cola são obrigatórios quando os servidores de nomes de um domínio filho são eles próprios subdomínios desse domínio filho. São armazenados ao nível do registador de domínio e servidos pelo registo TLD.

5. Registo SOA (Início de Autoridade)

Cada zona delegada deve ter um registo SOA que define informações administrativas sobre a zona, incluindo:

• O servidor de nomes primário
• O endereço de email da parte responsável
• Número de série (usado para versionamento de transferência de zona)
• Valores de atualização, repetição, expiração e TTL mínimo

O registo SOA sinaliza que uma zona está adequadamente configurada e é autoritária.

Como Funciona a Delegação de Domínio: Resolução DNS Passo a Passo

Quando um utilizador digita sub.example.com no seu navegador, um processo sofisticado de resolução desenrola-se nos bastidores. Eis exatamente o que acontece:

Passo 1: Consulta do Resolvedor Recursivo

O dispositivo do utilizador envia uma consulta DNS para um resolvedor recursivo — tipicamente operado pelo seu ISP ou um fornecedor de DNS público como Google (8.8.8.8) ou Cloudflare (1.1.1.1). O trabalho do resolvedor é encontrar a resposta consultando a hierarquia DNS.

Passo 2: Pesquisa do Servidor de Nomes Raiz

Se o resolvedor não tiver a resposta em cache, consulta um dos 13 clusters de servidores de nomes raiz. Os servidores raiz não sabem o endereço IP de sub.example.com, mas sabem quais servidores de nomes são autoritários para o TLD .com.

Root Server Response:
.com is handled by:
a.gtld-servers.net.
b.gtld-servers.net.
[...etc]

Passo 3: Pesquisa do Servidor de Nomes TLD

O resolvedor consulta os servidores de nomes TLD .com. Estes servidores sabem quais servidores de nomes são autoritários para example.com (conforme registado através do seu registador de domínio).

TLD Server Response:
example.com is handled by:
ns1.registrar.com.
ns2.registrar.com.

Passo 4: Pesquisa do Servidor de Nomes do Domínio Pai

O resolvedor consulta ns1.registrar.com (o servidor de nomes autoritário para example.com). Este servidor contém os registos NS para a delegação de sub.example.com.

Parent Domain Response:
sub.example.com is delegated to:
ns1.childnameserver.com.
ns2.childnameserver.com.

Passo 5: Pesquisa do Servidor de Nomes do Domínio Filho

O resolvedor agora consulta ns1.childnameserver.com — o servidor de nomes autoritário para sub.example.com. Este servidor devolve os registos DNS reais solicitados, como um registo A (endereço IP) ou registo MX (servidor de correio).

Child Name Server Response:
sub.example.com.    IN    A    198.51.100.42

Passo 6: Resposta Entregue

O resolvedor recursivo devolve o endereço IP ao navegador do utilizador, que então estabelece uma ligação ao servidor web nesse endereço. Todo o processo normalmente completa em milissegundos.

Cada passo nesta cadeia representa uma delegação de autoridade — de raiz para TLD para registador para os servidores de nomes do seu fornecedor de alojamento.

Como Delegar um Domínio ou Subdomínio: Passos Práticos

Quer esteja a delegar um domínio inteiro para um novo fornecedor de alojamento ou a dividir um subdomínio para uma zona DNS separada, o processo segue um padrão consistente.

Passo 1: Identificar os Servidores de Nomes Alvo

Determine quais servidores de nomes serão autoritários para o domínio filho. Isto é tipicamente fornecido por:

• O seu fornecedor de alojamento (por exemplo, ns1.alexhost.com, ns2.alexhost.com)
• Um serviço de gestão de DNS dedicado
• A sua própria infraestrutura DNS auto-hospedada

Se está a executar os seus próprios servidores e precisa de controlo total sobre o seu ambiente DNS, o Alojamento VPS da AlexHost fornece o acesso raiz e a fiabilidade de rede necessários para operar servidores de nomes autoritários.

Passo 2: Adicionar Registos NS na Zona Pai

Inicie sessão no painel de controlo do seu registador de domínio e navegue até à secção de gestão de DNS para o domínio pai. Adicione registos NS apontando para os servidores de nomes delegados.

Exemplo — Delegando shop.example.com para um ambiente de alojamento separado:

shop.example.com.    3600    IN    NS    ns1.shophosting.com.
shop.example.com.    3600    IN    NS    ns2.shophosting.com.

Importante: Defina um TTL razoável (Time to Live). Um TTL de 3600 segundos (1 hora) é comum. TTLs mais baixos permitem propagação mais rápida de alterações, mas aumentam a carga de consultas DNS.

Passo 3: Adicionar Registos de Cola Se Necessário

Se os servidores de nomes do seu domínio filho forem subdomínios do próprio domínio filho, contacte o seu registador para adicionar registos de cola. Isto é feito ao nível do registador, não no seu ficheiro de zona DNS.

Passo 4: Configurar a Zona Filho

Nos servidores de nomes delegados, crie a zona DNS para o domínio filho e adicione todos os registos necessários:

; Zone file for shop.example.com
$ORIGIN shop.example.com.
$TTL 3600

@    IN    SOA    ns1.shophosting.com. admin.example.com. (
                  2024010101 ; Serial
                  3600       ; Refresh
                  900        ; Retry
                  604800     ; Expire
                  300 )      ; Minimum TTL

@    IN    NS     ns1.shophosting.com.
@    IN    NS     ns2.shophosting.com.
@    IN    A      198.51.100.42
www  IN    A      198.51.100.42
@    IN    MX  10 mail.shophosting.com.

Passo 5: Verificar Propagação

As alterações de DNS podem levar de alguns minutos a 48 horas para se propagarem globalmente, dependendo dos valores de TTL e do comportamento de cache. Use ferramentas como:

• dig (Linux/macOS): dig NS shop.example.com @8.8.8.8
• nslookup (Windows): nslookup -type=NS shop.example.com
• Ferramentas online: dnschecker.org ou whatsmydns.net

Delegação de Domínio vs. Alojamento DNS: Compreender a Diferença

Estes dois conceitos estão intimamente relacionados mas são distintos:

Pode registar um domínio com um fornecedor e delegá-lo para servidores de nomes operados por um fornecedor completamente diferente. Isto é extremamente comum — por exemplo, registar um domínio com um registador económico mas alojar DNS com um fornecedor que oferece performance superior ou funcionalidades avançadas.

Para empresas que precisam de email profissional juntamente com a sua presença web, o Alojamento de Email da AlexHost integra-se perfeitamente com a sua configuração DNS, garantindo configuração correta de registos MX e entrega de correio fiável.

Cenários Comuns de Delegação de Domínio

Cenário 1: Mover um Domínio para um Novo Fornecedor de Alojamento

Ao migrar de um anfitrião para outro, atualiza os registos NS no seu registador para apontar para os servidores de nomes do novo fornecedor. Os servidores DNS do novo fornecedor tornam-se então autoritários para o seu domínio.

Dica chave: Configure todos os registos DNS no novo servidor de nomes *antes* de alterar os registos NS no registador. Isto minimiza o tempo de inatividade durante a transição.

Cenário 2: Delegar um Subdomínio para uma Plataforma SaaS

Muitas plataformas SaaS (por exemplo, plataformas de e-commerce, fornecedores de CDN) exigem que delegue um subdomínio para os seus servidores de nomes. Por exemplo, delegar shop.yourdomain.com para uma plataforma de e-commerce hospedada enquanto mantém www.yourdomain.com no seu alojamento principal.

Cenário 3: Dividir Infraestrutura Entre Múltiplos Fornecedores

Grandes organizações frequentemente delegam diferentes subdomínios para diferentes fornecedores de infraestrutura:

• api.example.com → Fornecedor de nuvem A
• cdn.example.com → Fornecedor de CDN B
• mail.example.com → Infraestrutura de email dedicada

Esta arquitetura requer gestão cuidadosa de DNS, mas permite escolhas de infraestrutura melhores. Um Servidor Dedicado pode servir como uma âncora fiável para a sua zona DNS primária enquanto subdomínios são delegados para fornecedores especializados.

Cenário 4: Delegação de DNS Interna

Em ambientes empresariais, domínios internos (por exemplo, corp.internal) são frequentemente delegados para servidores DNS internos que não são acessíveis publicamente. Isto permite que as organizações gerem recursos internos (sites intranet, APIs internas, impressoras) através da mesma infraestrutura DNS que os seus domínios públicos.

Considerações de Segurança na Delegação de Domínio

A delegação de domínio introduz vários riscos de segurança que os administradores devem mitigar ativamente.

DNSSEC (Extensões de Segurança DNS)

O DNSSEC adiciona assinaturas criptográficas aos registos DNS, permitindo que os resolvedores verifiquem que as respostas são autênticas e não foram alteradas. Ao delegar um domínio, DNSSEC requer:

1. Assinar a zona filho com uma Chave de Assinatura de Zona (ZSK) e Chave de Assinatura de Chave (KSK)
2. Adicionar registos DS (Delegação de Assinador) à zona pai
3. Estabelecer uma cadeia de confiança da raiz até à sua zona

DNSSEC é fortemente recomendado para qualquer domínio que lida com dados sensíveis ou transações financeiras. Combine DNSSEC com um Certificado SSL para fornecer segurança tanto ao nível de DNS como ao nível de transporte para o seu domínio.

Sequestro de Subdomínio

O sequestro de subdomínio ocorre quando os registos DNS de um subdomínio apontam para um recurso (por exemplo, um serviço em nuvem, ponto final de CDN) que já não existe, permitindo que um atacante reclame esse recurso e sirva conteúdo malicioso sob o seu domínio.

Prevenção:

• Audite registos DNS regularmente e remova delegações obsoletas
• Monitorize recursos não reclamados associados aos seus subdomínios
• Use ferramentas de monitorização de DNS que alertem sobre alterações inesperadas

Segurança da Conta do Registador

Como a delegação de domínio é controlada ao nível do registador, a sua conta de registador é um alvo de alto valor. Proteja-a com:

• Senhas fortes e únicas
• Autenticação de dois fatores (2FA)
• Bloqueio de registador (também chamado bloqueio de domínio ou bloqueio de transferência) para evitar transferências não autorizadas

Envenenamento de Cache DNS

Os ataques de envenenamento de cache tentam injetar registos DNS fraudulentos nos caches dos resolvedores, redirecionando utilizadores para sites maliciosos. DNSSEC é a defesa principal contra este vetor de ataque.

Melhores Práticas para Delegação de Domínio

Aplicar estas melhores práticas manterá a sua infraestrutura DNS segura, fiável e fácil de manter.

✅ Use Múltiplos Servidores de Nomes

Configure sempre pelo menos dois servidores de nomes para redundância. Idealmente, devem estar geograficamente distribuídos e operados em infraestrutura de rede separada para eliminar pontos únicos de falha.

✅ Defina Valores de TTL Apropriados

• TTL Alto (86400 segundos / 24 horas): Reduz a carga de consultas DNS e melhora a performance. Use para registos estáveis.
• TTL Baixo (300–900 segundos): Permite propagação mais rápida de alterações. Use temporariamente antes de migrações planeadas.

✅ Documente Todas as Alterações de DNS

Mantenha um registo de alterações para cada modificação de DNS, incluindo:

• O que foi alterado
• Por que foi alterado
• Quando foi alterado
• Quem fez a alteração

Esta documentação é inestimável durante resposta a incidentes e auditorias.

✅ Monitorize Continuamente a Saúde de DNS

Implemente monitorização que o alerte para:

• Alterações inesperadas de registos NS
• Falhas de resolução de DNS
• Padrões de consulta incomuns (potencial DDoS ou reconhecimento)
• Expiração de certificado (relevante para DNSSEC e SSL)

✅ Teste Antes da Propagação

Use dig ou nslookup para consultar diretamente os seus novos servidores de nomes antes de atualizar registos NS no registador. Isto confirma que a zona está corretamente configurada antes da delegação ficar ativa.

# Query the new name server directly before delegation
dig A sub.example.com @ns1.childnameserver.com

✅ Implemente DNSSEC

Ative DNSSEC em todos os domínios públicos, especialmente aqueles que lidam com autenticação, pagamentos ou dados sensíveis do utilizador.

✅ Audite Delegações Periodicamente

Revise todas as delegações NS trimestralmente. Remova delegações para subdomínios desativados e verifique que as delegações ativas ainda apontam para os servidores de nomes corretos e operacionais.

Resolução de Problemas Comuns de Delegação de Domínio

Problema: DNS Não Resolve Após Alteração de Delegação

Causa: Valores de TTL antigos causando respostas em cache a persistirem.

Solução: Aguarde a expiração do TTL anterior. No futuro, reduza valores de TTL antes de fazer alterações.

Problema: Dependência Circular / Registo de Cola Ausente

Causa: Servidores de nomes são subdomínios do domínio delegado, mas registos de cola não foram adicionados.

Solução: Contacte o seu registador e solicite registos de cola para os endereços IP do servidor de nomes.

Problema: Resolução Parcial (Funciona em Algumas Localizações, Não em Outras)

Causa: A propagação de DNS ainda está em progresso, ou alguns resolvedores estão em cache de registos antigos.

Solução: Aguarde propagação completa (até 48 horas). Use dnschecker.org para monitorizar o estado de propagação global.

Problema: Email Para de Funcionar Após Delegação

Causa: Registos MX não configurados na nova zona, ou os novos servidores de nomes ainda não são autoritários.

Solução: Verifique que registos MX estão presentes