Como funciona
Digite um nome de domínio, cole uma URL completa ou um endereço de e-mail, ou informe um endereço IPv4/IPv6. Primeiro é extraído o host; os nomes de domínio internacionais são convertidos para punycode na consulta e exibidos também em Unicode legível. Depois, cada tipo de registro selecionado é pedido a um resolvedor público DNS-over-HTTPS e as respostas são agrupadas por tipo, com o TTL, o estado da resposta e o resultado DNSSEC.
example.com → A · AAAA · CNAME · MX · NS · TXT · SOA · CAA | 8.8.8.8 → 8.8.8.8.in-addr.arpa (PTR)
Tipos de registro
- A / AAAA: os endereços IPv4 e IPv6 do nome.
- CNAME: um alias que aponta para outro nome.
- MX: servidores de correio. O número de prioridade mais baixo é tentado primeiro.
- NS / SOA: os servidores de nomes da zona e o seu início de autoridade: servidor principal, e-mail do administrador, número de série e intervalos de atualização.
- TXT: texto livre, usado para SPF, DMARC, DKIM e verificação de propriedade. Strings divididas são unidas automaticamente.
- CAA: que autoridades de certificação podem emitir certificados TLS para o domínio.
- SRV: localização de um serviço com prioridade, peso, porta e host de destino.
- PTR: resolução inversa de um endereço IP para um nome de host, através de in-addr.arpa ou ip6.arpa.
- HTTPS: indicações de conexão como os protocolos suportados (alpn, p. ex. HTTP/3) e dicas de IP.
- DS / DNSKEY: chaves públicas DNSSEC e o signatário de delegação (DS) que as liga à zona superior. Os key tags são calculados para você associar um DS à chave correspondente.
Verificações rápidas
Para nomes de domínio são mostradas cinco verificações básicas em forma de selo. Um aviso nem sempre é um erro, mas merece atenção.
- SPF: um registro TXT que começa por v=spf1 e indica quem pode enviar e-mail em nome do domínio. Ter mais de um registro SPF é um erro.
- DMARC: um registro TXT em _dmarc.<domínio> que diz aos destinatários o que fazer com e-mails reprovados no SPF/DKIM (p=none, quarantine ou reject).
- CAA: limita as autoridades de certificação autorizadas. Os domínios superiores também são verificados, porque o CAA é herdado.
- IPv6: um registro AAAA significa que o nome está acessível por IPv6.
- DNSSEC: o sinalizador AD significa que o resolvedor verificou as assinaturas da resposta.
Comparar resolvedores
Comparar ambos envia as mesmas consultas à Cloudflare e ao Google e destaca os registros devolvidos por apenas um deles. Respostas A/AAAA diferentes são muitas vezes normais com CDN e balanceamento de carga geográfico; já um número de série SOA diferente ou registros em falta podem indicar que uma alteração ainda está se propagando. Os TTLs diminuem separadamente no cache de cada resolvedor e por isso não contam como diferenças.
Privacidade
As consultas vão diretamente do seu navegador para o resolvedor escolhido, apenas quando você clica em Consultar ou abre um link compartilhado que contém q=. Não há nenhum servidor da beancuit no meio e nada é armazenado. Um link compartilhado contém o domínio e os tipos de registro selecionados.
Normas e fontes
- DNS: RFC 1034 e RFC 1035; resolução inversa através de in-addr.arpa e ip6.arpa (RFC 3596)
- DNS over HTTPS (RFC 8484), API JSON da Cloudflare 1.1.1.1 e do Google Public DNS
- SPF RFC 7208, DKIM RFC 6376, DMARC RFC 7489
- CAA RFC 8659, SRV RFC 2782, HTTPS/SVCB RFC 9460
- DNSSEC RFC 4033–4035 (key tag: RFC 4034, apêndice B)
Última revisão 12 de outubro de 2026
Perguntas frequentes
O que posso consultar?
Um nome de domínio, uma URL completa, um endereço de e-mail ou um endereço IP. Em URL e e-mails, o host é extraído automaticamente; para um endereço IP é consultado o registro PTR (inverso). Pode escolher entre 13 tipos: A, AAAA, CNAME, MX, NS, TXT, SOA, CAA, SRV, PTR, HTTPS, DS e DNSKEY.
Por que a Cloudflare e o Google mostram resultados diferentes?
Cada resolvedor tem seu próprio cache e pode chegar a um servidor diferente. Sites atrás de uma CDN ou com balanceamento geográfico devolvem IP diferentes conforme a localização e, logo após uma alteração, um resolvedor pode manter o registro antigo até o TTL expirar. Escolha Comparar ambos para ver as diferenças destacadas.
O que significam NXDOMAIN e SERVFAIL?
NXDOMAIN significa que o nome não existe no DNS — normalmente um erro de digitação ou um domínio não registado. SERVFAIL significa que o resolvedor não obteve uma resposta válida, muitas vezes porque os servidores de nomes não respondem ou a validação DNSSEC falhou. NOERROR sem registros significa que o nome existe, mas não tem registros desse tipo.
O que significa o sinalizador DNSSEC AD?
AD (Authenticated Data) significa que o resolvedor verificou as assinaturas DNSSEC da resposta e que são válidas. Se ele não aparecer, é provável que a zona não esteja assinada ou que a zona superior não tenha um registro DS para ela.
Por que minha alteração de DNS ainda não aparece?
Os resolvedores guardam cada resposta durante o respectivo TTL. Se um registro tinha um TTL de 3600, o valor antigo pode ficar em cache até uma hora depois da alteração. A coluna TTL mostra durante quanto tempo a resposta atual ainda ficará em cache.
Minha consulta é enviada para algum lugar?
Apenas quando você clica em Consultar ou abre um link compartilhado com q=, e só para o resolvedor escolhido (Cloudflare ou Google). A requisição sai diretamente do seu navegador; a beancuit não a vê nem a armazena.