Um DNS lookup mostra o que o DNS responde para um nome: os endereços IP do site (registros A e AAAA), os servidores de e-mail (MX), os servidores DNS que respondem pelo domínio (NS) e textos de configuração como SPF, DKIM e DMARC (TXT). Digite o domínio acima, escolha um tipo de registro ou "Todos" e veja cada resposta com o tempo de cache (TTL).
Como usar a consulta DNS
- Digite o nome. Vale domínio (
exemplo.com.br), subdomínio (www.exemplo.com.br), link completo ou endereço de e-mail: a ferramenta extrai o nome sozinha. Nomes com sublinhado, como_dmarc.exemplo.com.bre seletores DKIM (seletor._domainkey.exemplo.com.br), também funcionam, assim como domínios com acento. - Escolha o tipo. "Todos" consulta A, AAAA, CNAME, MX, NS, TXT, SOA, CAA e HTTPS em paralelo. SRV e PTR ficam fora porque dependem de nomes específicos: SRV usa nomes como
_sip._tls.exemplo.com.bre PTR usa um IP. - Para um IP, a consulta é reversa. Ao digitar
8.8.8.8, a ferramenta pergunta pelo registro PTR de8.8.8.8.in-addr.arpae mostra o nome de host associado ao endereço. - Compartilhe ou copie. O endereço da página guarda a consulta (por exemplo,
?d=exemplo.com.br&t=MX) e o botão "Copiar registros" entrega as respostas no formato de arquivo de zona, pronto para colar num chamado de suporte.
As perguntas saem do seu navegador direto para o Google Public DNS por DNS over HTTPS (DoH), com o Cloudflare como reserva. Você vê, portanto, o que um resolvedor público enxerga naquele momento. O resultado pode diferir do que o DNS da sua operadora tem em cache, e é justamente essa comparação que ajuda a diagnosticar muitos problemas.
Tipos de registro DNS e o que cada um mostra
| Tipo | Para que serve | Exemplo de resposta |
|---|---|---|
| A | Para que serveEndereço IPv4 do nome | Exemplo de resposta203.0.113.10 |
| AAAA | Para que serveEndereço IPv6 do nome | Exemplo de resposta2001:db8::10 |
| CNAME | Para que serveApelido: o nome aponta para outro nome | Exemplo de respostawww → exemplo.com.br |
| MX | Para que serveServidores que recebem e-mail, com prioridade | Exemplo de resposta10 mx1.exemplo.com.br |
| NS | Para que serveServidores DNS autoritativos do domínio | Exemplo de respostans1.provedor-dns.com |
| TXT | Para que serveTextos livres: SPF, DMARC, DKIM, verificações | Exemplo de respostav=spf1 include:_spf.google.com ~all |
| SOA | Para que serveDados da zona: servidor primário, serial e tempos | Exemplo de respostans1.exemplo.com.br. 2026100801 ... |
| CAA | Para que serveQuais autoridades podem emitir certificados SSL | Exemplo de resposta0 issue "letsencrypt.org" |
| SRV | Para que serveServidor e porta de um serviço específico | Exemplo de resposta10 5 5060 sip.exemplo.com.br |
| PTR | Para que serveDNS reverso: nome associado a um IP | Exemplo de resposta8.8.8.8 → dns.google |
| HTTPS | Para que serveDicas de conexão para navegadores (HTTP/3, ECH) | Exemplo de resposta1 . alpn=h3,h2 |
Duas regras explicam muita confusão com CNAME. Um nome que tem CNAME não pode ter nenhum outro registro (nem MX, nem TXT), e por isso o domínio principal (exemplo.com.br, sem www) não pode ser um CNAME. Provedores de DNS contornam isso com recursos próprios, chamados de ALIAS, ANAME ou "CNAME flattening", que entregam um registro A no lugar. Quando um nome é apelido, a ferramenta avisa e mostra as respostas do nome final.
O registro HTTPS (RFC 9460) é mais novo: navegadores consultam esse tipo para saber, antes de conectar, se o site aceita HTTP/3 e outros parâmetros. Não ter esse registro é normal e não impede o site de funcionar.
Como interpretar o resultado
TTL: por quanto tempo a resposta fica em cache
O TTL (time to live) é o tempo, em segundos, que um resolvedor pode guardar a resposta antes de perguntar de novo ao servidor do domínio. Como a consulta passa por um resolvedor público, o número mostrado é o tempo restante daquela cópia: um registro configurado com 3.600 segundos pode aparecer com 2.140 numa consulta e com 3.600 na seguinte, quando o cache é renovado. Antes de migrar um site ou um serviço de e-mail, baixe o TTL dos registros que vão mudar (para 300 segundos, por exemplo) com antecedência de pelo menos um TTL antigo. Assim a troca se espalha em minutos.
Nenhum registro deste tipo (NODATA)
O nome existe, mas não tem aquele tipo de registro. Sem AAAA, o site simplesmente não tem IPv6. Sem MX, servidores de e-mail tentam entregar no próprio endereço A do domínio (RFC 5321), o que raramente é o comportamento desejado; um MX 0 . (Null MX, RFC 7505) declara que o domínio não recebe e-mail. A ferramenta também mostra por quanto tempo essa resposta negativa pode ficar em cache.
NXDOMAIN: o nome não existe
É a resposta por trás do erro DNS_PROBE_FINISHED_NXDOMAIN do Chrome. Confira a digitação primeiro. Se o domínio é seu, veja no Whois se ele expirou, está suspenso (status de "hold") ou ficou sem servidores DNS. Se apenas um subdomínio dá NXDOMAIN, falta criar o registro dele na zona.
SERVFAIL e DNSSEC
SERVFAIL significa que o resolvedor não conseguiu uma resposta confiável. As causas mais comuns são DNSSEC quebrado (a assinatura venceu ou o registro DS no registro do domínio ainda aponta para a chave de um provedor antigo), servidores autoritativos fora do ar e delegação para servidores que não respondem pela zona. Quando o Google informa o motivo, ele aparece no resultado. Já o selo DNSSEC validado indica que o resolvedor conferiu as assinaturas da resposta; "sem validação" quase sempre quer dizer só que o domínio não usa DNSSEC, o que ainda é comum.
Problemas comuns e o que olhar
- Site não abre depois de trocar a hospedagem: confira se o A aponta para o IP novo e se não sobrou um AAAA antigo. Aparelhos com IPv6 preferem o AAAA e continuam indo para o servidor velho. Depois, espere o TTL ou limpe o cache DNS do computador.
- E-mail não chega ou cai no spam: veja se o MX aponta para o provedor certo, se existe um único TXT começando com
v=spf1(dois registros SPF invalidam a verificação, segundo a RFC 7208) e se há DMARC em_dmarc.seudominio. O verificador de SPF, DKIM e DMARC analisa cada regra e o guia de SPF, DKIM e DMARC mostra como configurar. - Certificado SSL não é emitido: se o domínio tem registro CAA, só as autoridades listadas podem emitir. Desde setembro de 2017 todas as autoridades certificadoras são obrigadas a checar o CAA antes de emitir. Inclua a sua (por exemplo,
letsencrypt.org) e depois confira o resultado no verificador de SSL. - Verificação de domínio não passa (Google Search Console, Microsoft 365 e outros): o TXT precisa estar no nome exato que o serviço pediu, às vezes um subdomínio. Se ele já aparece aqui, a falha costuma ser cache do lado do serviço: aguarde o TTL e tente de novo.
- Troquei os servidores DNS (NS) no Registro.br: a mudança de delegação depende da publicação da zona .br e do cache dos resolvedores. A ferramenta de propagação de DNS compara vários resolvedores e os servidores autoritativos, e o artigo sobre quanto tempo a propagação demora explica os prazos.
Como consultar o DNS pelo terminal
Os mesmos registros podem ser consultados direto no computador, o que ajuda a comparar a resposta do DNS configurado na sua rede com a de um resolvedor público:
nslookup -type=mx exemplo.com.br
nslookup -type=txt exemplo.com.br 8.8.8.8
Resolve-DnsName exemplo.com.br -Type AAAAdig exemplo.com.br MX +short
dig @1.1.1.1 _dmarc.exemplo.com.br TXT +short
dig -x 8.8.8.8 +shortNo Linux, o dig vem no pacote dnsutils (Debian e Ubuntu) ou bind-utils (Fedora e derivados). O guia de comandos de rede no CMD mostra outros testes úteis, como ping e tracert.
Por que o resultado pode ser diferente no seu computador
Além do cache, há três motivos frequentes. Sites grandes e CDNs devolvem IPs diferentes conforme a região de quem pergunta, então dois resolvedores podem receber endereços distintos e os dois estarem certos. DNS com filtro (bloqueio de anúncios, controle parental ou proteção contra malware) pode responder 0.0.0.0 ou NXDOMAIN para nomes bloqueados. E redes corporativas às vezes têm uma zona interna com respostas próprias. Para entender as diferenças entre resolvedores, veja como funciona o DNS, compare opções na lista de DNS públicos e meça qual responde mais rápido na sua conexão com o teste de velocidade de DNS.
