Como funciona esta verificação
Esta verificação consulta o DNS e o registo do teu domínio, subindo pela cadeia de domínios (de app.teudominio.com para teudominio.com) porque estes dados vivem no domínio registável. Olha para três coisas. CAA: se não há registos CAA em nenhum nível, severidade baixa. DNSSEC: pergunta pelos registos DS usando DNS sobre HTTPS; se não há em nenhum nível, severidade baixa. Caducidade: consulta a data de expiração por RDAP, o sucessor do whois; se faltam 7 dias ou menos, alta; 30 ou menos, média; 60 ou menos, baixa. Se o registo não publica a data ou uma consulta falha, não há achado: na dúvida, não se inventa.
Porque importa
Os três pontos protegem o domínio em si, que está por baixo de tudo o resto. Sem CAA, qualquer uma das mais de cem autoridades de certificação do mundo pode emitir um certificado válido para o teu domínio; com CAA só podem as que tu autorizares, o que transforma uma emissão fraudulenta em algo detetável. Sem DNSSEC, as respostas DNS do teu domínio não vão assinadas e um atacante que envenene a cache de um resolvedor pode mandar os teus utilizadores para outro servidor sem que nada o denuncie. E a caducidade é o risco mais tonto e mais definitivo: um domínio que expira cai inteiro (site, correio, API) e, passado o período de graça, pode ser registado por outra pessoa. Acontece a empresas grandes todos os anos por um cartão caducado.
Como corrigir
CAA
teudominio.com. CAA 0 issue "letsencrypt.org"
teudominio.com. CAA 0 issuewild ";"
teudominio.com. CAA 0 iodef "mailto:security@teudominio.com"Autoriza a autoridade que emite os teus certificados. Se usas Vercel ou Netlify, é a Let's Encrypt; se usas Cloudflare, consulta na documentação a lista de autoridades que emprega e adiciona-as todas; se compras certificados, a do teu fornecedor. Um CAA que não inclua a tua autoridade real faz com que a próxima renovação falhe em silêncio, por isso confirma a primeira renovação depois de o adicionares. issuewild ";" proíbe wildcards se não os usas, e iodef indica onde avisar se alguém tentar uma emissão não autorizada.
DNSSEC
Ativa-se em dois sítios. Primeiro no fornecedor de DNS (Cloudflare, Route 53, o próprio registador): costuma ser um botão que assina a zona e te mostra um registo DS. Depois esse DS é publicado no registador do domínio, que o envia ao registo do TLD. Se o DNS e o registo estão no mesmo sítio, é um só clique. Um aviso: se um dia mudares de fornecedor de DNS, elimina o DS antes de mover a zona ou o domínio deixa de resolver.
Caducidade
Ativa a renovação automática no registador, confirma que o cartão associado não caduca antes do domínio, e mantém válido o e-mail de contacto, que é para onde chegam os avisos. Se o domínio é o do teu negócio, renova por vários anos e ativa o bloqueio de transferência. O Scanaris avisa-te por e-mail 30, 14 e 3 dias antes de caducar, como com os certificados.
Confirma que está corrigido
dig +short CAA teudominio.com
dig +short DS teudominio.com
curl -s https://rdap.org/domain/teudominio.com | grep -oE '"eventAction":"expiration","eventDate":"[^"]+"'Esperado: pelo menos uma linha issue no primeiro, uma ou mais linhas no segundo, e uma data de expiração distante no terceiro. As alterações de DNS demoram de minutos a horas; o DS pode demorar até um dia a aparecer no TLD.
Perguntas frequentes
O DNSSEC pode partir o meu site?
Só se for mal configurado: um DS que não corresponde às chaves da zona faz com que os resolvedores que validam rejeitem o teu domínio. Por isso convém ativá-lo num fornecedor que gira as chaves por ti e confirmar com o comando de cima e com um validador externo que tudo bate certo antes de o dares por feito.
O meu domínio caduca daqui a um ano. Porque não aparece nada?
Porque está bem. O achado só aparece a 60 dias ou menos. Se queres ficar descansado, ativa a renovação automática agora, que é quando não urge.
O CAA substitui ter um bom certificado?
Não, são coisas diferentes. O CAA limita quem pode emitir; a qualidade do certificado e do protocolo que tens mede-a certificado TLS. E a configuração de correio do mesmo domínio revê-a autenticação de e-mail.