O fato: segundo a ICANN, a chave KSK-2024 (identificador 38696) começou a assinar a zona raiz do DNS em 11 de outubro de 2026, às 14h UTC (11h em Brasília), no lugar da KSK-2017 (identificador 20326). A ICANN informou que não observou indícios de problemas generalizados e que continua acompanhando.
Para você: se os sites abrem normalmente desde domingo, o DNS que você usa já estava preparado. Quem cuida de servidor DNS próprio, firewall ou equipamento antigo no escritório deve conferir se a chave nova está configurada.
O que é a "chave raiz" do DNS
Toda vez que você digita um endereço como vpsa.com.br, um resolvedor DNS descobre o número IP daquele site. Na maioria das casas, quem faz isso é o servidor DNS da operadora, que o roteador repassa para os aparelhos.
O DNSSEC é uma camada de proteção do DNS: cada resposta vem com uma assinatura digital, e o resolvedor confere se ela é verdadeira. Essas assinaturas formam uma cadeia, do domínio até o topo da hierarquia, a raiz. No topo fica a KSK (Key Signing Key, chave que assina chaves). É nela que todos os resolvedores que validam DNSSEC precisam confiar.
Em 11 de outubro, essa chave do topo foi trocada. É como trocar a fechadura da porta principal de um prédio: quem tem a chave nova entra; quem só tem a antiga fica do lado de fora.
A cadeia de confiança, passo a passo
Para entender por que uma chave no topo afeta todo mundo, veja o caminho que um resolvedor que valida DNSSEC percorre para confiar na resposta de vpsa.com.br:
| Nível | Quem assina | O resolvedor confere |
|---|---|---|
Raiz (.) |
KSK da raiz (agora a 38696) | A chave da raiz, que ele guarda como âncora de confiança |
br |
Chaves do .br, apontadas pela raiz |
Se a raiz assinou a indicação das chaves do .br |
com.br |
Chaves do com.br, apontadas pelo .br |
Se o .br assinou a indicação |
vpsa.com.br |
Chaves do próprio domínio, se ele usar DNSSEC | Se o nível de cima assinou a indicação |
Se a primeira linha falha, todas as outras falham junto, porque cada nível depende da assinatura do nível de cima. Por isso a troca da chave da raiz foi planejada com tanta antecedência e acompanhada de perto.
Domínios sem DNSSEC continuam funcionando, mas um resolvedor que não conseguiu atualizar a âncora pode falhar até para eles, porque não consegue confiar nas respostas da própria raiz.
Por que a troca poderia derrubar sites
Um resolvedor que valida DNSSEC e não conhece a chave nova deixa de conseguir conferir as respostas da raiz. Nesse caso, ele não responde nada, e os aparelhos recebem erro (o famoso SERVFAIL). Para o usuário, parece que "a internet caiu", embora o cabo e o Wi-Fi estejam funcionando.
Para evitar isso, a troca foi feita com muita antecedência:
| Etapa | Quando |
|---|---|
| KSK-2024 publicada na raiz | 11 de janeiro de 2025 |
| Guia da ICANN para operadores | 11 de agosto de 2026 |
| KSK-2024 passa a assinar a raiz | 11 de outubro de 2026, 14h UTC |
| Revogação da KSK-2017 | Previsão: 1º trimestre de 2027 |
Entre a publicação da chave nova e o início das assinaturas, foram 638 dias (cerca de 21 meses). Esse intervalo serve para os resolvedores aprenderem a chave nova sozinhos, por um mecanismo de atualização automática padronizado (RFC 5011).
Quem corre mais risco
A própria ICANN pede que os operadores não presumam que a atualização automática funcionou. Os casos típicos de falha são:
- Servidores restaurados de backup antigo ou que ficaram desligados durante o período de aprendizado.
- Equipamentos com configuração somente leitura, que não conseguem gravar a chave nova.
- Aparelhos esquecidos: firewalls e servidores DNS internos de escritório que ninguém atualiza há anos.
- Imagens prontas desatualizadas, usadas para instalar máquinas novas com uma configuração velha.
Na casa comum, o risco é baixo: o resolvedor é o da operadora ou um serviço público de DNS, mantidos por equipes que acompanham a troca. No escritório com servidor próprio (um controlador de domínio que também faz DNS, um Pi-hole, um firewall com resolvedor interno), vale conferir.
Como testar o DNS da sua rede
Teste 1, o mais simples: abra alguns sites que você não visitou hoje. Se todos abrem, o resolvedor está respondendo. Se nada abre, mas o roteador mostra conexão com a internet, desconfie do DNS.
Teste 2, no computador: no Prompt do Windows ou no terminal do Mac e do Linux, rode:
nslookup vpsa.com.br
Se aparece um endereço IP, o resolvedor funciona. Se aparece erro de servidor, anote o servidor DNS que o comando mostra e compare com outro resolvedor.
Teste 3, para quem administra servidor: com a ferramenta dig, consulte as chaves da raiz:
dig DNSKEY . +multi
Na resposta, procure a chave marcada como KSK com o identificador (key id) 38696. Depois, confira na configuração do seu resolvedor se a âncora de confiança inclui essa chave. A ICANN recomenda verificar diretamente, sem confiar só na atualização automática.
O que fazer se algo quebrou
- Em casa: troque temporariamente o DNS do roteador para o automático da operadora ou para um serviço público conhecido e reinicie o roteador. Avise a operadora se o problema for no DNS dela.
- No escritório: atualize o software do resolvedor e a lista de âncoras de confiança. Se não for possível na hora, aponte o resolvedor interno para um resolvedor externo atualizado até corrigir.
- Não desligue o DNSSEC como solução definitiva. Ele é o que protege contra respostas falsas de DNS, um golpe usado para levar pessoas a sites falsos de bancos e lojas.
E os domínios .br?
A troca da raiz vale para a internet inteira, inclusive para os domínios .br. O Registro.br explica que o DNSSEC é obrigatório em algumas categorias, como b.br e jus.br, e opcional nas demais. Se você tem um domínio .br com DNSSEC, nada muda na configuração do seu domínio: a troca foi no topo da cadeia, não nas chaves de cada site.
Perguntas rápidas
Preciso mexer no roteador de casa?
Na maioria dos casos, não. O roteador doméstico normalmente só repassa as consultas para o resolvedor da operadora.
A troca deixa a internet mais lenta?
Não. A troca muda a chave usada para conferir as respostas do DNS, não a velocidade do seu plano.
Vai ter outra troca?
A próxima etapa prevista é a revogação da KSK-2017, no primeiro trimestre de 2027, segundo o cronograma da ICANN. A ICANN também abriu, em 2026, consulta pública sobre uma futura troca do algoritmo da chave.
