Interrupção do registrador de domínio ou do provedor de DNS: período de carência para resgate de domínio expirado, DNSSEC SERVFAIL Armadilha e migração emergencial de servidores de nomes¶

Acordar e descobrir que o site principal da sua empresa, os endpoints da API (api.example.com) e e-mail corporativo (MX registros do Google Workspace ou Microsoft 365) são completamente inacessíveis em todo o mundo (DNS_PROBE_FINISHED_NXDOMAIN ou SERVFAIL) é uma crise de infraestrutura de apagão total. Ao contrário de um único servidor web travado que afeta um serviço, um Sistema de Nomes de Domínio (DNS) ou uma falha no registro do domínio interrompe todos os serviços do seu domínio raiz simultaneamente, incluindo o logon único (SSO), portais de suporte ao cliente e e-mails recebidos de resposta a incidentes. Na prática, os bloqueios globais de domínio resultam de três gatilhos distintos: (1) uma expiração acidental de domínio em que um cartão de crédito registrado expirou e o registrador sequestrou seu NS registros para apontar para uma página de estacionamento paga por clique 24 to 48 hours antes da data de vencimento real; (2) um ataque DDoS ou interrupção do plano de controle em seu provedor de DNS oficial (Route 53, Cloudflare, GoDaddy, Namecheap, DNSimple, NS1); ou (3) um ** quebrado DNSSEC (DS registro) cadeia de confiança ** durante uma troca apressada de servidor de nomes que causa a validação de resolvedores (8.8.8.8, 1.1.1.1, resolvedores de ISP) para reduzir 100% do seu tráfego com SERVFAIL. Se um invasor comprometeu suas credenciais de login do registrador e transferiu ou alterou seu domínio de forma maliciosa, mude para sequestro de nome de domínio, DNS expirado e controle de site; se o seu certificado TLS expirou ou quebrou após a recuperação do DNS, consulte Certificado SSL/TLS expirado em produção, bloqueio de pré-carregamento HSTS e renovação de emergência e Bloqueio de administrador de domínio personalizado do Google Workspace ou Microsoft 365 e verificação de DNS. Se esta interrupção desativar as comunicações clínicas do hospital, o roteamento de despacho de emergência 911/112 ou serviços públicos críticos, ligue para o número de emergência local (911 nos Estados Unidos e no Canadá, 112 em toda a União Europeia, 999 no Reino Unido) ou consulte nosso diretório de números de emergência.

Faça isso agora¶

1. Diagnostique em 10 segundos se a falha é um Domínio Expirado/Suspenso (EPP Status), uma interrupção autoritativa do provedor de DNS ou um DNSSEC Falha na validação:
2. Corre whois yourdomain.com | grep -iE "Status|Expiry|Name Server" e dig +trace yourdomain.com.
3. Teste se está ignorando DNSSEC validação (+cd = Marcação Desativada) faz com que seu domínio seja resolvido novamente:

   dig @8.8.8.8 yourdomain.com A
   dig @8.8.8.8 yourdomain.com A +cd
   

   Se o primeiro comando retornar status: SERVFAIL enquanto o segundo comando (+cd) retorna imediatamente status: NOERROR com o endereço IP do seu servidor, seus servidores DNS NÃO estão inativos: seu DNSSEC (DS registro no registrador) está quebrado. Vá imediatamente para a Fase 3 para excluir o obsoleto DS registrar em seu registrador.
4. Se o seu domínio expirou (Auto-Renew Grace Period ou Redemption Grace Period), faça login em seu registrador atual imediatamente e pague a taxa de renovação/resgate; NÃO espere que o domínio "caia" para que você possa registrá-lo novamente de forma barata:
5. Durante os primeiros 1 a 45 dias após a expiração (Auto-Renew Grace Period), a renovação no painel do registrador restaura seus servidores de nomes originais pelo custo de renovação padrão ($10 to $30).
6. Durante os 30 dias Redemption Grace Period (RGP / redemptionPeriod), você deverá pagar a taxa obrigatória de resgate de registro ($80 to $250) por meio do seu registrador atual. Se você esperar que o domínio termine o período de 5 dias Pending Deletefase para salvar $100, bots de atiradores automatizados que capturam drop (DropCatch, SnapNames, NameJet) irá arrebatar seu domínio dentro 5 milliseconds de lançamento e leiloá-lo por milhares de dólares.
7. **NUNCA altere seus servidores de nomes (NS) longe de um provedor de DNS habilitado para DNSSEC (como Cloudflare, Route 53 ou Google Cloud DNS) sem remover o DS registre primeiro em seu registrador **: se DNSSEC está ativado e você troca seu NS registros para um provedor DNS de resgate durante uma interrupção sem excluir o pai DS (Delegation Signer) registre no .com / .org Zona TLD primeiro, cada resolvedor de validação na Terra rejeitará as respostas não assinadas do novo provedor de DNS como um ataque de falsificação criptográfica (SERVFAIL).
8. Se você estiver bloqueado em sua empresa @yourdomain.com e-mail porque o seu domínio MX registros estão inativos, NÃO clique em "Enviar código de redefinição de senha para admin@yourdomain.com"no seu registrador: enquanto o seu domínio NS ou MX registros estão off-line, qualquer e-mail de verificação enviado para @yourdomain.com salta ou desaparece em uma fila. Use o SMS/Autenticador MFA do seu registrador, e-mail de backup fora de banda (@gmail.com / @proton.me) ou fluxo de verificação de identidade por telefone.
9. Após renovar um domínio expirado, verifique manualmente se o seu registrador restaurou seus servidores de nomes personalizados originais (NS) em vez de deixar o domínio em sedoparking.com / renewyourname.net: Quando um domínio expira, os registradores substituem seu domínio personalizado NS registros com servidores de nomes de estacionamento (ns1.parklogic.com, dns1.name-services.com). Às vezes, o pagamento da renovação atualiza a data de expiração para o próximo ano, deixando os servidores de nomes de estacionamento ativos até que você os alterne manualmente.
10. Limpar caches DNS recursivos públicos globais (Google 8.8.8.8, Cloudflare 1.1.1.1, OpenDNS) no segundo que seu NS ou DS os registros são restaurados: em vez de esperar de 24 a 48 horas para serem armazenados em cache NXDOMAIN ou página de estacionamento NS registros expirem naturalmente, acione uma limpeza instantânea do cache global no DNS público do Google (developers.google.com/speed/public-dns/cache) e Cloudflare 1.1.1.1 (one.one.one.one/purge-cache/).

Árvore de decisão: domínio global ou triagem de emergência de blackout de DNS¶

Use este fluxograma para identificar a camada exata da hierarquia DNS (TLD Registry, Registrar EPP Status, DNSSEC DS Chain, ou Authoritative Nameserver) onde a resolução está falhando:

flowchart TD
    Start["Interrupção global: falha na resolução do domínio Web e e-mail (NXDOMAIN / SERVFAIL)"] --> RunDiag["Execute: whois domínio.com E dig @8.8.8.8 domínio.com +cd"]

    RunDiag --> CheckCD{"O dig @ 8.8.8.8 domain.com falha, enquanto a adição de + cd é bem-sucedida?"}

    CheckCD -->|"Sim: Funciona com +cd, falha sem +cd"| DnssecBreak["Cadeia de confiança DNSSEC quebrada: excluir registro DS obsoleto no registrador OU reassinar zona -> Liberar 8.8.8.8 e 1.1.1.1"]

    CheckCD -->|"Não: ambos falham ou retornam IP de estacionamento"| CheckWhois{"Inspecione o status do domínio WHOIS EPP e a data de expiração"}

    CheckWhois -->|"Status: clientHold ou serverHold"| HoldState["Suspensão do registrador/registro: Conclua a verificação de e-mail RAA da ICANN OU abuso/bilhete de cobrança imediatamente"]

    CheckWhois -->|"Data de expiração passada (status: autoRenewPeriod)"| GraceRenew["Dia 1 a 45 pós-expiração: renovação do padrão de pagamento no portal do registrador -> Verificar NS personalizado restaurado"]

    CheckWhois -->|"Status: período de resgate (RGP)"| RgpRestore["Dia 45 a 75 após a expiração: Abra um tíquete urgente de suporte ao registrador / Pague a taxa de restauração RGP (US$ 80 a US$ 250) imediatamente"]

    CheckWhois -->|"Status: pendenteExcluir"| PendingDel["Bloqueio final de 5 dias: não pode ser renovado no registrador -> Faça pedidos pendentes em todos os principais drop-catchers agora"]

    CheckWhois -->|"Status: ok/clientTransferProhibited E Expiração no Futuro"| AuthDown["Registro de domínio íntegro -> Interrupção do provedor de DNS autoritativo ou zona ausente"]

    AuthDown --> MigrateNS["Importar arquivo de zona (`BIND` / Terraform) para o provedor DNS secundário -> Remover registro DS se DNSSEC estiver ativado -> Atualizar NS no registrador"]

Fase 1: Ciclo de vida de expiração de domínio da ICANN (Auto-Renew vs. Redemption vs. Pending Delete)¶

Quando um domínio de nível superior genérico (gTLD como .com, .net, .org, .io, .ai, .co, .app, .dev) expira porque um cartão de crédito com renovação automática falhou ou um cartão financeiro foi cancelado após a saída de um funcionário, o domínio passa por um ciclo de vida estrito de vários estágios regido pela Política de recuperação de registro expirado da ICANN (ERRP) e contratos de operador de registro (Verisign para .com/.net, PIR para .org, Identity Digital).

Como um domínio morre e por que fica offline ANTES ou NO primeiro dia de expiração¶

+-------------------------------------------------------------------------+
| ICANN gTLD EXPIRATION TIMELINE (.com / .net / .org example)             |
|                                                                         |
| [Active Domain]                                                         |
|       |                                                                 |
|       v  (Expiration Date Reached: Day 0)                               |
| +---------------------------------------------------------------------+ |
| | STAGE 1: Auto-Renew Grace Period (Day 1 to Day 30-45)               | |
| | - EPP Status: ok or clientHold (Registrar swaps your NS to parking) | |
| | - Production Impact: 100% OFFLINE within 0 to 48 hours of expiry    | |
| | - Recovery: Log into registrar & pay normal renewal ($10-$30).      | |
| +---------------------------------------------------------------------+ |
|       |  (Registrar sends Delete command to Registry at Day 30-45)      |
|       v                                                                 |
| +---------------------------------------------------------------------+ |
| | STAGE 2: Redemption Grace Period [RGP] (Exactly 30 Calendar Days)   | |
| | - EPP Status: redemptionPeriod (Domain removed from TLD Root Zone)  | |
| | - Recovery: Still 100% guaranteed to original owner, MUST pay       | |
| |   Registry RGP Redemption Fee ($80-$250) + renewal via registrar.   | |
| +---------------------------------------------------------------------+ |
|       |  (30-Day RGP expires without redemption payment)                |
|       v                                                                 |
| +---------------------------------------------------------------------+ |
| | STAGE 3: Pending Delete (Exactly 5 Calendar Days)                   | |
| | - EPP Status: pendingDelete                                         | |
| | - Recovery: IMPOSSIBLE to renew or redeem at any price. Registry    | |
| |   rejects all registrar commands until public drop at Day 5 (~18:00 | |
| |   UTC for Verisign .com/.net).                                      | |
| +---------------------------------------------------------------------+ |
+-------------------------------------------------------------------------+

Compare seus direitos exatos, custos e ações de recuperação em cada estágio de expiração, incluindo domínios de nível superior com código de país (ccTLDs gosto .uk, .de, .eu, .ca, .au), que não seguem a ICANN gTLD regras:

Fase 2: Recuperação passo a passo de um documento expirado ou RedemptionPeriod domínio¶

Siga esta sequência exata para colocar um domínio expirado novamente online no menor tempo possível:

Etapa 1: recupere o acesso à sua conta de registrador quando @yourdomain.com e-mail está morto¶

Aqui está o clássico Catch-22 de um domínio expirado: - Seu domínio (company.com) expirou, então MX registros para company.com parou de resolver. - Você tenta fazer login no seu registrador de domínio (GoDaddy, Namecheap, Cloudflare, Porkbun, Hover, Network Solutions, Gandi), e o registrador diz: "Enviamos um código de verificação de 6 dígitos para admin@company.com." - Porque company.com expirou, esse e-mail nunca poderá chegar.

Como sair do ciclo de e-mail de domínio expirado imediatamente: 1. NÃO transfira ou modifique nada ainda: verifique se você pode ativar um coletor de e-mail de emergência temporário SOMENTE se o domínio não tiver expirado (se o próprio domínio tiver expirado no nível do TLD, MX não pode ser resolvido em lugar nenhum até ser renovado). 2. Use o canal de recuperação de conta "Acesso de e-mail perdido/domínio expirado" do registrador: - Quase todos os registradores credenciados pela ICANN fornecem um fluxo de trabalho dedicado de verificação por telefone ou identificação governamental/documento de incorporação corporativa, especificamente para clientes cujo e-mail de login fica @ o domínio expirado dentro da conta. - Tenha três itens em mãos antes de ligar para o suporte do registrador: (a) os últimos 4 dígitos do cartão de crédito ou ID de transação do PayPal usado na fatura de renovação anterior, (b) seu ID da conta do registrador/PIN do cliente e © um documento de identificação com foto do governo + contrato social/conta de serviços públicos correspondente à organização registrante do WHOIS (Tech / Admin / Registrant). 3. Depois de fazer login, altere imediatamente o endereço de e-mail da sua conta de registrador para um domínio externo (@gmail.com, @proton.me, ou um domínio de emergência separado que você possui) e habilite Chave de segurança de hardware (FIDO2) ou TOTP Authenticator App MFA para que o login nunca dependa de @company.com e-mail novamente.

Passo 2: Execute a Renovação ou RedemptionPeriod (RGP) Restaurar¶

1. Se o domínio estiver no Estágio 1 (Auto-Renew Grace Period, Dias 1 a 30/45):
2. Vá para Faturamento -> Renovações ou Lista de Domínios -> Filtro Expirado e pague a fatura de renovação.
3. Verificação crítica 60 segundos após o pagamento: Abra os Nameservers do domínio (NS) configurações no painel do registrador. Verifique se o registrador colocou de volta automaticamente seus servidores de nomes reais (por exemplo, ns-123.awsdns-15.com ou ada.ns.cloudflare.com) ou deixou o domínio apontando para seus servidores de estacionamento expirado (ns1.sedoparking.com / dns1.registrar-servers.com). Se os servidores de estacionamento ainda estiverem listados, insira novamente manualmente os servidores de nomes de produção e salve.
4. Se o domínio estiver no Estágio 2 (Redemption Grace Period / redemptionPeriod, Dias 30/45 a 75):
5. Procure em uma guia separada dentro do painel do seu registrador, geralmente chamada Domínios Expirados -> Resgate, Lixeira/Restauração ou Faturamento de Carência/Resgate.
6. Pague a taxa RGP Restore + renovação de 1 ano.
7. Como funciona a restauração RGP no Registro (Verisign / PIR)? Quando você paga a taxa RGP, seu registrador envia um EPP <update><restore op="request"> comando para o registro de TLD. O Registro altera imediatamente o status do domínio de redemptionPeriod para pendingRestore e coloca o seu domínio NS registros de volta à zona raiz do TLD dentro de 15 a 60 minutos enquanto seu registrador envia o restore op="report" confirmação de conformidade.

Etapa 3: ignorar atrasos no cache do ISP local, limpando 8.8.8.8 e 1.1.1.1¶

Quando o seu domínio expirou, os resolvedores de DNS recursivos em todo o mundo armazenaram em cache os servidores de nomes de estacionamento ou os servidores de nomes negativos NXDOMAIN resposta (regida pelo TLD SOA Minimum TTL, normalmente 900 para 3,600 segundos, ou 86,400 segundos por NS registros). O momento dig @a.gtld-servers.net yourdomain.com NS (consultando o .com servidor raiz diretamente) mostra seus servidores de nomes de produção reais novamente: 1. Abra Cache de liberação de DNS público do Google (https://developers.google.com/speed/public-dns/cache): - Tipo de descarga NS primeiro para yourdomain.com, depois lave SOA, A, AAAA, MX, e TXT. 2. Abra Cloudflare 1.1.1.1 Limpar Cache (https://one.one.one.one/purge-cache/): - Purgar NS, A, AAAA, e MX para yourdomain.com.

Fase 3: Servidor de nomes de emergência (NS) Migração durante uma interrupção do provedor de DNS (e o DNSSEC Armadilha)¶

E se o registro do seu domínio for 100% válido e não expirado, mas o seu Provedor DNS Autorizado (Route 53, Cloudflare, GoDaddy DNS, DigitalOcean DNS, Azure DNS, DNSimple, Dyn) está sofrendo uma interrupção catastrófica ou ataque DDoS e você precisa migrar os servidores de nomes do seu domínio (NS) para um provedor de DNS de backup agora?

O assassino número 1 da migração: troca NS Enquanto DNSSEC (DS Registro) está ativado¶

Antes de alterar um único NS registro em seu registrador, execute este comando para verificar se DNSSEC está habilitado em seu domínio no registro do TLD pai:

dig +short yourdomain.com DS @8.8.8.8

+-------------------------------------------------------------------------+
| WHY CHANGING NS RECORDS WITH AN ACTIVE DS RECORD BREAKS THE INTERNET    |
|                                                                         |
| 1. Parent TLD (.com) holds your old DNS provider's DS Record (Key #2371)|
| 2. Old DNS Provider goes down. You import zone to New DNS Provider      |
|    (unsigned, or signed with a brand-new Key #9910) and swap NS.        |
| 3. Validating Resolver (8.8.8.8 / 1.1.1.1 / Comcast / ISP) queries      |
|    New DNS Provider, sees signature does NOT match DS Key #2371.        |
| 4. Resolver assumes an active MITM Spoofing Attack -> Returns SERVFAIL  |
| 5. RESULT: Your domain stays 100% dead worldwide even though the new    |
|    DNS servers are up and answering cleanly.                            |
+-------------------------------------------------------------------------+

Lista de verificação de migração segura de servidores de nomes de emergência (Zero SERVFAIL Procedimento)¶

1. Reconstrua ou importe primeiro seu arquivo de zona DNS completo no novo provedor de DNS:
2. Nunca adivinhe seus registros DNS da memória (@, wwwe api raramente são os únicos registros; esquecendo MX, SPF/TXT, DKIM, _dmarc, autodiscover, ou CAA interrompe a entrega de e-mail e renovações de TLS).
3. Onde encontrar sua zona DNS completa quando o painel do seu provedor DNS principal estiver inativo:
   • Verifique a infraestrutura como código (Terraform, Pulumi, OctoDNS, DNSControl) em seu repositório Git.
   • Verifique as exportações recentes da zona (BIND .zone arquivos) ou pesquise bancos de dados históricos de DNS (SecurityTrails, ViewDNS.info, DNSDumpster, ou Censys / crt.sh para subdomínios).
   • Consulte registros em cache ainda dentro de resolvedores recursivos públicos (dig @8.8.8.8 yourdomain.com MX, dig @1.1.1.1 yourdomain.com TXT, dig @9.9.9.9 api.yourdomain.com A) antes que seus TTLs expirem.
4. Verifique se o novo provedor de DNS está respondendo com autoridade para cada registro crítico ANTES de entrar em contato com seu registrador: Suponha que seu novo provedor lhe tenha atribuído ns1.rescuedns.com e ns2.rescuedns.com. Teste-os diretamente com dig:

   dig @ns1.rescuedns.com yourdomain.com SOA +norecurse
   dig @ns1.rescuedns.com yourdomain.com A +norecurse
   dig @ns1.rescuedns.com yourdomain.com MX +norecurse
   

   Espere até o flags: linha no dig o cabeçalho inclui explicitamente aa (Authoritative Answer) e retorna status: NOERROR.
5. Se dig +short yourdomain.com DS retornou um DS gravar, manusear DNSSEC no registrador:
6. Durante uma interrupção ativa em que o antigo provedor de DNS está completamente inacessível: Faça login em seu Registrador de domínio (onde você comprou o domínio), vá para a seção DNSSEC/DS Records e exclua todos DS registros para que o domínio seja revertido para não assinado (Insecure) na zona pai do TLD. Espere até dig +short yourdomain.com DS @a.gtld-servers.net retorna vazio (e liberado DS em 8.8.8.8 / 1.1.1.1) ou adicione o novo provedor de DNS DS registre junto com o antigo se estiver fazendo uma migração planejada de vários assinantes.
7. Atualize os servidores de nomes (NS) no seu registrador de domínio: Substitua os servidores de nomes mortos por ns1.rescuedns.com e ns2.rescuedns.com no painel Servidores de nomes personalizados do seu registrador (observação: alterando NS os registros dentro do editor de zona não fazem nada quando os servidores antigos estão mortos; você deve alterar os Servidores de Nomes de Delegação Pai/Cola no nível do Registrador).
8. ** Purgar NS e DS caches no Google (8.8.8.8) e Cloudflare (1.1.1.1)**: Use as ferramentas de limpeza de cache público da Fase 2, Etapa 3, para forçar a adoção imediata dos novos servidores de nomes.

Fase 4: Sobrevivendo ao bloqueio de transferência de registradores da ICANN de 60 dias durante uma emergência¶

E se você precisar transferir seu domínio para um novo registrador (ICANN Inter-Registrar Transfer), apenas para ser bloqueado por Domain Status: clientTransferProhibited e uma mensagem dizendo: "Este domínio está sob um bloqueio de transferência da ICANN de 60 dias porque as informações de contato foram atualizadas recentemente"?

1. Por que o bloqueio de 60 dias foi acionado: De acordo com a Política de transferência da ICANN (Seção II.C.1), os registradores estabelecem um bloqueio de transferência de 60 dias sempre que um domínio é registrado recentemente, transferido entre registradores ou passa por uma "Mudança de registrante" (atualizando o nome, o sobrenome, o nome da organização ou o endereço de e-mail do contato do registrante).
2. Como ignorar ou cancelar o bloqueio de 60 dias para mudança de registrador:
3. Antes de editar os detalhes de contato do WHOIS: quase todos os principais registradores fornecem uma caixa de seleção logo na tela de edição do contato chamada: "Desativar o bloqueio de transferência de 60 dias após esta atualização de contato." Marcar essa caixa permite que você atualize seu endereço de e-mail de administrador/registrante e ainda gere um EPP Auth-Code (Transfer Secret) para transferir o domínio no mesmo dia.
4. Lembre-se que você NÃO precisa transferir o registro do domínio para mudar de provedor de DNS: Mesmo que um domínio esteja bloqueado por 60 dias contra Transferências de Registrador (clientTransferProhibited), você ainda pode alterar seus Nameservers (NS registros) no registrador atual a qualquer momento com período de espera zero; a troca de DNS leva minutos, enquanto uma transferência completa do registrador leva de 5 a 7 dias, a menos que o registrador perdedor clique em Aprovar transferência de saída (FOa) botão.

Fase 5: Fortalecimento de registros de domínio e DNS contra interrupções futuras¶

Depois que seu domínio e a resolução de DNS estiverem 100% restaurados, preencha esta lista de verificação de resiliência:

• Habilitar Registry Lock (serverDeleteProhibited, serverUpdateProhibited, serverTransferProhibited) em domínios de produção de missão crítica: Padrão Registrar Lock (clientTransferProhibited) pode ser desativado com um único clique se um invasor sequestrar seu login de registrador. Registry Lock (oferecido pela Verisign, PIR, Cloudflare, CSC, MarkMonitor, Gandi e Porkbun/Namecheap para domínios corporativos) bloqueia o domínio diretamente no nível do registro de TLD, exigindo verificação criptográfica/voz de várias pessoas fora da banda antes de qualquer NS o registro pode ser alterado ou o domínio excluído.
• Renovar domínios de produção com 5 a 10 anos de antecedência (ICANN maximum horizon is 10 years): Nunca deixe um domínio crítico para os negócios na renovação anual, onde um único cartão de crédito corporativo expirado pode desencadear uma interrupção de expiração. Pré-pagamento de 5 a 10 anos de uma só vez.
• Nunca use um @yourdomain.com endereço de e-mail como contato de login ou notificação de cobrança no registrador que gerencia yourdomain.com: Use uma lista de distribuição de segurança dedicada em um domínio administrativo independente ou conta externa reforçada e monitore RDAP / WHOIS datas de expiração por meio de monitores Prometheus/Uptime externos automatizados (domain_expiry_days < 60).
• Mais baixo NS e DS TTL (300 para 3600 segundos) 48 horas antes de qualquer migração de DNS planejada: reduzir os TTLs antecipadamente garante que os resolvedores mudem dentro de 5 minutos após uma transição planejada.

Números de emergência regionais e protocolos de agências¶

Quando uma interrupção de domínio ou DNS afetar instalações de saúde, serviços de emergência, serviços públicos municipais ou infraestrutura governamental, siga estes canais de escalonamento regionais:

• Estados Unidos e Canadá: Disque 911 se uma interrupção de domínio/DNS desativar a telemetria clínica do hospital, o envio de ambulâncias ou os sistemas de segurança vital. Relate ataques DDoS à infraestrutura de DNS ou sequestro de BGP/DNS para CISA (1-844-Say-CISA / cisa.gov/report), o FBI IC3 (ic3.gov), ou Centro Canadense de Segurança Cibernética (1-833-CYBER-88). Para .gov domínios, entre em contato com CISA .gov Helpdesk do registrador.
• Reino Unido: Disque 999 para ameaças à vida ou perturbações agudas do SNS. Relate interrupções críticas de DNS ou sequestros de domínio ao NCSC (ncsc.gov.uk) e entre em contato com Nominet (01865 332244) diretamente para urgência .uk / .gov.uk / .nhs.uk problemas de registro.
• União Europeia: Disque 112 em todos os estados membros da UE. Os provedores de serviços DNS e registros de nomes de TLD são regulamentados pela Diretiva NIS2 da UE (Directive 2022/2555) e devem reportar incidentes de disponibilidade significativos ao seu CSIRT nacional no prazo de 24 horas.
• Austrália e Nova Zelândia: Disque 000 na Austrália ou 111 na Nova Zelândia; relatar incidentes críticos de DNS ou domínio ao ACSC (1300 CYBER1), auDA (para .au) ou Domain Name Commission NZ (para .nz).
• Índia e Ásia-Pacífico: Disque 112 na Índia para resposta a emergências; relatar ataques à infraestrutura de DNS/domínio para CERT-In (incident@cert-in.org.in) dentro de 6 horas ou NIXI para .in escalonamentos de registro.

Perguntas frequentes¶

Por que meu domínio parou de funcionar 24 horas ANTES do carimbo de data e hora oficial de expiração do WHOIS?¶

Primeiro, verifique os fusos horários: WHOIS `Registry Expiry Date` é sempre impresso em **UTC (`Z`)**, que está de 4 a 8 horas à frente dos fusos horários da América do Norte (ou seja, um domínio que expira em `2026-11-01T04:00:00Z` na verdade expira em `8:00 PM PDT` em 31 de outubro). Em segundo lugar, se o seu `NS` registros tiveram um `24-hour` ou `48-hour` TTL e o registrador os trocaram em `00:00 UTC` no dia de expiração, os usuários cujos resolvedores foram atualizados antecipadamente acessam a página de estacionamento imediatamente, enquanto outros permanecem em cache por horas.

Meu registrador está completamente fora do mercado ou não responde (Dead / De-accredited Registrar) e meu domínio está expirando. Como faço para resgatá-lo?¶

Quando a ICANN rescinde ou descredencia um registrador falho de acordo com o **Procedimento de transição de registrador descredenciado (`DARTP`)**, a ICANN transfere automaticamente todos os domínios em massa para um registrador custodiante vencedor, sem custo para os registrantes. Verifique `whois yourdomain.com` (ou `lookup.icann.org`) para ver qual **Registrador** e **ID da IANA** detém atualmente seu domínio ou registre uma **Reclamação urgente de renovação/transferência de domínio** diretamente com **Conformidade contratual da ICANN (`icann.org/compliance/complaint`)**.

Por que meu site está funcionando para alguns clientes com dados de celular, mas ainda mostra a página de estacionamento expirado no Wi-Fi do nosso escritório 6 horas depois de ter renovado o domínio?¶

A rede do seu escritório ou o resolvedor DNS recursivo do ISP local armazenou em cache a página de estacionamento do registrador `NS` e `A` registros enquanto o domínio estava expirado, e os servidores de nomes de estacionamento notoriamente definiram TTLs altos (`3,600` para `86,400` segundos/24 horas) para que as páginas de anúncios permaneçam em cache por mais tempo. Liberar Google (`8.8.8.8`) e Cloudflare (`1.1.1.1`) usando suas ferramentas de limpeza da web e, em seguida, no computador local, execute `ipconfig /flushdns` (Janelas), `sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder` (macOS) ou `sudo resolvectl flush-caches` (Linux).

O que acontece com e-mails enviados para @yourdomain.com Enquanto nosso domínio ou DNS expirou por 18 horas? Eles estão perdidos para sempre?¶

Na maioria dos casos, e-mails legítimos enviados durante as primeiras 12 a 48 horas de uma interrupção de DNS NÃO são perdidos: eles são enfileirados no servidor de e-mail do remetente e chegarão automaticamente nas próximas horas. Abaixo de **`RFC 5321` (Protocolo Simples de Transferência de Correio, Seção 4.5.4.1)**, quando um servidor de envio de correio (`Gmail`, `Microsoft Exchange Online`, `Postfix`) obtém uma falha temporária na pesquisa de DNS (`SERVFAIL`) ou não consegue se conectar a um `MX` host, ele coloca a mensagem em uma fila de novas tentativas por **4 a 5 dias (`96 to 120 hours`)**, tentando novamente com espera exponencial. No entanto, se a página de estacionamento expirada do registrador incluísse um **curinga nulo `MX` registro (`0 .`)** ou um servidor de correio estacionado que rejeitou mensagens com um hard `550 5.1.1 User Unknown` devolução permanente, esses remetentes receberão uma notificação de devolução imediata e deverão reenviar seus e-mails.

Posso configurar dois provedores de DNS ao mesmo tempo (Cloudflare + Route 53) simplesmente listando dois Cloudflare NS registros e dois Route 53 NS registros no meu registrador?¶

Sim, contanto que `DNSSEC` está desativado (ou configurado corretamente com `RFC 8901` Multi-Signer DNSSEC) e ambos os provedores atendem registros DNS idênticos. Resolvedores recursivos consultam todos os pais listados `NS` registros usando seleção de latência round-robin/RTT (`SRTT`). Se você listar `ns1.providerA.com`, `ns2.providerA.com`, `ns1.providerB.com`e `ns2.providerB.com` nos servidores de nomes personalizados do seu registrador e mantenha ambas as zonas sincronizadas usando **OctoDNS**, **DNSControl**, **Terraform** ou `AXFR / IXFR` transferências de zona, seu domínio sobreviverá automaticamente a uma interrupção de 100% de qualquer um dos provedores de DNS.

Qual é a diferença entre clientHold e serverHold no WHOIS?¶

Códigos de status EPP começando com **`client...`** (`clientHold`, `clientTransferProhibited`) são definidos pelo seu **Registrador de Domínio** (o varejista onde você gerencia sua conta, como Namecheap ou GoDaddy) e podem ser removidos imediatamente pelo suporte ou sistema de cobrança do seu registrador. Códigos de status começando com **`server...`** (`serverHold`, `serverTransferProhibited`) são definidos diretamente pelo **Operador de registro de TLD** (`Verisign`, `PIR`, `Nominet`) devido a ordens judiciais, disputas de UDRP, suspensões por abuso no nível do registro ou **Bloqueio de registro** de hardware e exigem contato com o Registro por meio de seu registrador para serem cancelados.

Guias relacionados¶

• Sequestro de nome de domínio, DNS expirado e controle de site
• Certificado SSL/TLS expirado em produção, bloqueio de pré-carregamento HSTS, bloqueio de registro CA CAA e renovação de emergência
• Bloqueio de administrador de domínio personalizado do Google Workspace ou Microsoft 365, verificação DNS TXT e resgate de locatário
• Sequestro de DNS, reconfiguração de WAN do roteador ISP e falsificação de portal cativo
• Crise de hospedagem na Web, migração e restauração de backup
• Números de emergência por país

Fontes e orientações oficiais¶

• Corporação da Internet para nomes e números atribuídos (ICANN): Política de recuperação de registro expirado (ERRP), Política de exclusão de domínio expirado (EDDP), Política de transferência entre registradores (bloqueio de mudança de registrador em 60 dias) e referência de códigos de status EPP (clientHold, redemptionPeriod, pendingDelete).
• Força-Tarefa de Engenharia da Internet (IETF): RFC 6781 (Práticas Operacionais DNSSEC: Principais Rollovers e Emergência DS Remoção) & RFC 8901 (Modelos DNSSEC de múltiplos signatários para DNS autoritativo de vários provedores).
• Instituto Nacional de Padrões e Tecnologia (NIST) (Estados Unidos): Publicação especial 800-81-2: Secure Domain Name System (DNS) Guia de implantação.
• Agência de Segurança Cibernética e de Infraestrutura (CISA) (Estados Unidos): Diretiva de Emergência 19-01: Mitigação da adulteração da infraestrutura de DNS.
• Agência da União Europeia para a Cibersegurança (ENISA): Orientação técnica NIS2 para provedores de serviços DNS e registros de nomes de TLD.