Defaults.Exposed › Relatórios

O DNSSEC Obrigatório Funciona? O Que Revela a Adoção Impulsionada pelos Registos (2026)

Publicado 2026-06-29

Números em 2026-06-29 · metodologia v7. Dados censitários agregados de 261 milhões de domínios avaliados, por terminação de domínio nacional (uma aproximação da política do registro, não da localização da empresa). «Impulsionado pelo registro» = o registro da terminação promove ativamente o DNSSEC por meio de incentivos ou exigências — na maioria incentivos a registradores, não mandatos legais. «Válido» = uma cadeia DNSSEC que valida; «quebrado» = assinado mas falhando na validação. Veja como avaliamos.

Obrigar os registradores a impulsionar o DNSSEC realmente move a adoção? Sim — decisivamente — mas com uma ressalva. Em terminações cujos registros impulsionam o DNSSEC, 9,1% dos domínios têm uma assinatura válida, contra apenas 1,3% em terminações que deixam a cargo dos proprietários — cerca de 7× mais alto. A política funciona onde a adoção voluntária estagna. A ressalva: mesmo entre os líderes, mais domínios quebram o DNSSEC do que o fazem corretamente — então a pressão do registro resolve ligá-lo, não fazê-lo corretamente.

Impulsionar o DNSSEC aumenta a adoção?

Inequivocamente. As terminações nacionais impulsionadas pelo registro agrupam-se em torno de 10–18% de DNSSEC válido; as terminações de laissez-faire ficam perto do piso global de 1,99%. Um percentual de válidos mais alto é melhor; o percentual de quebrados é o custo de errar. Em 2026-06-29:

Os 18,38% da Suécia são mais de dez vezes os 1,62% do .com. A diferença não é sobre a tecnologia — é o mesmo protocolo em todo lugar — é sobre se alguém na cadeia teve um motivo para implantá-lo.

A ressalva: mais quebrado do que funcionando

Eis a metade incômoda. Em todas as terminações impulsionadas pelo registro acima, a taxa de quebrados é mais alta do que a taxa de válidos — a Suécia apresenta 30,35% quebrado contra 18,38% válido; os Países Baixos 22,98% contra 11,86%. No conjunto de todas as terminações impulsionadas é 15,7% quebrado contra 9,1% válido.

Isso importa porque DNSSEC quebrado não é inofensivo: um resolvedor que valida se recusará a resolver um domínio cujas assinaturas não conferem, então uma má configuração pode tirar o domínio fora do ar — site e e-mail — para uma fatia da internet. Impulsionar a adoção sem impulsionar a correção escala as quedas junto com a proteção. É o mesmo problema de execução que toda a web mostra em o paradoxo do DNSSEC, apenas amplificado onde mais domínios tentam.

Por que a política do registro supera deixar a cargo dos proprietários

O DNSSEC não tem um evento forçoso para um proprietário individual: nada quebra ou avisa se você o ignora, então em uma terminação de laissez-faire como .com a adoção fica plana perto de 1,62% indefinidamente. Os registros que escaparam disso o fizeram por meio de economia, não de decretos — tipicamente incentivos a registradores (descontos ou reembolsos por assinar zonas) mais automação do provedor, que foi como os registros nórdicos, tcheco e holandês elevaram toda a sua população. É um experimento natural limpo: mesmo protocolo, mesma dificuldade, resultados muito diferentes — e a diferença é a política do registro.

Mandato ou incentivo — o que realmente move a agulha?

Principalmente o incentivo. Apesar do enquadramento «obrigatório» com que a pergunta costuma ser colocada, as terminações de alta adoção aqui geralmente encorajam o DNSSEC em vez de exigi-lo legalmente; mandatos rígidos são mais raros (alguns governos o exigem para domínios do setor público). A lição para qualquer registro: alinhar a economia dos registradores e a automação rumo à assinatura funciona — mas deveria ser combinado com assinatura gerenciada e rotação de chaves, ou você simplesmente fabrica mais zonas quebradas.

Perguntas frequentes

Exigir ou incentivar o DNSSEC realmente aumenta a adoção? Sim — cerca de 7× em nossos dados: 9,1% válido em terminações impulsionadas pelo registro contra 1,3% nas de laissez-faire, em 2026-06-29.

Qual país ou TLD tem mais DNSSEC? Entre as grandes terminações, a Suécia (.se) lidera com 18,38% válido — mais de dez vezes os 1,62% do .com.

Se a adoção é maior, o DNSSEC é feito corretamente? Muitas vezes não. Em toda terminação de alta adoção, o DNSSEC quebrado supera o válido (15,7% contra 9,1% no conjunto das terminações impulsionadas) — e DNSSEC quebrado pode tirar um domínio do ar.

Uma pequena empresa deveria ligar o DNSSEC? Apenas se for gerenciado corretamente — uma assinatura quebrada é pior do que nenhuma. Use um provedor que cuide da assinatura e da rotação de chaves, e verifique que valida. Veja como consertar o DNSSEC.

Verifique o DNS do seu domínio

Veja se o seu DNSSEC é válido, está quebrado ou ausente — e o restante da sua postura — de forma privada e gratuita.

Verifique seu domínio → · O paradoxo do DNSSEC → · Quem opera o DNS da internet? → · Consertar o DNSSEC → · Apenas dados agregados. Dados armazenados e processados na UE.