Outubro é o Mês da Sensibilização para a Cibersegurança (Cybersecurity Awareness Month) nos Estados Unidos e o Mês Europeu da Cibersegurança na UE. A campanha de 2026 da agência norte-americana CISA, «Securing the Next 250», coloca em primeiro lugar, entre os seus quatro passos essenciais, evitar e denunciar as burlas de phishing. Na UE, um inquérito Eurobarómetro publicado pela Comissão Europeia a 30 de setembro de 2026 concluiu que três em cada quatro trabalhadores tinham encontrado e-mails, mensagens ou links suspeitos no trabalho nos seis meses anteriores ao inquérito.
O site, o e-mail e os acessos de clientes de uma empresa dependem dos seus nomes de domínio, e são cinco parâmetros que decidem se esses nomes podem ser sequestrados, perdidos ou falsificados.
Quem controla os seus domínios?
Quem detém a conta no registrar e a ficha do titular, por isso verifique as duas coisas: o bloqueio de cada nome e os dados de contacto associados.
O seu domínio está bloqueado contra transferências?
Deveria estar. Para .com e muitas extensões de código de país, os dados públicos do domínio mostram-no: o bloqueio do registrar aparece como o código de estado clientTransferProhibited, que, como explica a ICANN, indica ao registo que rejeite os pedidos de transferência do domínio para outro registrar. Os códigos clientUpdateProhibited e clientDeleteProhibited fazem o mesmo para as alterações e a eliminação.
Alguns registos não publicam qualquer estado de bloqueio, por exemplo a nic.at para .at e a DENIC para .de. Nesses casos, pergunte ao seu registrar como é autorizada uma transferência.
O bloqueio no registo (registry lock) vai mais longe. Os códigos que começam por server, como serverTransferProhibited, são definidos pelo registo, e alguns registos oferecem-nos como um serviço de bloqueio que só é levantado quando o registrar o pede ao registo. Pergunte ao seu registrar quais dos seus nomes o podem ter.
Para verificar, consulte o domínio na nossa pesquisa whois, que mostra os códigos de estado de até 20 nomes de cada vez, quando o registo os publica. Depois, verifique quem pode levantar o bloqueio: a ICANN aconselha os titulares a ativar a autenticação multifator na sua conta do registrar, quando estiver disponível.
Os dados do titular e do contacto administrativo estão corretos?
Devem identificar a empresa proprietária da marca, com endereços e números que ela controle. Os registos da UE começaram a verificar estes dados ao abrigo das leis nacionais que transpõem a Diretiva NIS2. A EURid publicou uma política de verificação para .eu em outubro de 2024, e a lei austríaca NISG 2026 entrou em vigor a 1 de outubro de 2026: os titulares de .at têm agora de indicar um número de telefone, além de um endereço de e-mail, e de colaborar quando lhes for pedido que verifiquem os seus dados.
O registo austríaco avisa que a falta de comprovativos, ou o seu envio tardio, pode levá-lo a eliminar o domínio. Segundo as suas perguntas frequentes sobre a NIS2, um domínio cujos dados não sejam verificados no prazo de 21 dias é colocado em serverHold, o que interrompe o site e o e-mail, e é revogado se os dados não forem corrigidos nos 30 dias seguintes.
Desde 1 de outubro, a nic.at também publica no whois o número de telefone e o endereço de e-mail dos titulares que são empresas, dados que estas podiam ocultar até então, pelo que recomenda um endereço e um número centrais em vez dos de um trabalhador.
Os avisos de expiração e os pedidos de verificação são enviados para estes contactos. Um domínio em nome de um antigo trabalhador, de uma agência ou de uma filial é difícil de renovar, transferir ou defender, e um endereço de contacto num domínio que expira pode ficar nas mãos de quem registar esse domínio. Para verificar, peça ao seu registrar os dados completos de cada domínio, uma vez que o whois público oculta muitas vezes os dados do titular, e compare o titular com a denominação social da empresa.
Quem recebe os avisos de expiração dos seus domínios?
O endereço de e-mail do titular. Nas extensões genéricas, a política de recuperação de registos expirados (ERRP) da ICANN obriga os registrars a enviar pelo menos dois lembretes, cerca de um mês e cerca de uma semana antes da expiração, e outro nos cinco dias seguintes à expiração, se o nome não tiver sido renovado nem eliminado. Todos são enviados para o endereço de e-mail do titular que consta dos dados de contacto.
Após a expiração, um registrar pode oferecer um período de carência de renovação automática de 1 a 45 dias. Depois de um domínio genérico ser eliminado, o registo tem de oferecer um período de carência de recuperação (Redemption Grace Period) de 30 dias, durante o qual o titular pode restaurá-lo através do registrar, eventualmente mediante o pagamento de uma taxa. O DNS é cortado antes da eliminação e durante a recuperação, pelo que o site e o e-mail deixam de funcionar, incluindo as caixas de correio do próprio domínio. Os registos de código de país definem as suas próprias regras.
Para verificar, ative a renovação automática de todos os nomes em uso, mantenha registado um meio de pagamento válido, envie os avisos para uma caixa de correio partilhada noutro domínio e liste as datas de expiração dos próximos doze meses.
Os seus domínios podem ser falsificados?
Sim, no DNS e no e-mail, a menos que a zona esteja assinada com DNSSEC e que cada domínio publique SPF e DMARC.
O DNSSEC está ativado e continua a corresponder?
Deveria estar, sempre que o registo o suporte, com um registo DS publicado pelo registo que continue a corresponder a uma chave da sua zona. Sem DNSSEC, explica a ICANN, um resolvedor não consegue verificar se uma resposta DNS é autêntica, e um atacante que envenene a sua cache pode enviar os utilizadores para uma cópia do seu site.
A nossa verificação de zona DNS lê o registo DS publicado pelo registo e as chaves da sua zona e indica se correspondem, sem verificar as assinaturas. Uma chave em falta ou diferente faz com que o domínio falhe nos resolvedores que validam o DNSSEC, por isso execute a verificação após cada mudança de fornecedor de DNS. Nem todos os registos suportam DNSSEC: a nossa página de gestão de DNS explica como o tratamos.
A raiz do DNS teve a sua própria data este mês. A ICANN planeou que a KSK-2024, a nova chave de assinatura de chaves da zona raiz, passasse a assinar a 11 de outubro de 2026. Um resolvedor que não confie nela (etiqueta de chave 38696) trata as respostas assinadas com a nova chave como adulteradas, pelo que todas as consultas falham, como explicam as perguntas frequentes da ICANN. Se a sua empresa gere os seus próprios resolvedores com validação, verifique se a têm, como pede a página da ICANN sobre a mudança de chave.
Todos os seus domínios autenticam o e-mail, incluindo os que não enviam nenhum?
Deveriam, porque um domínio que não envia e-mail pode ser falsificado tão facilmente como um que envia. O SPF lista os servidores autorizados a enviar o seu correio, o DKIM assina cada mensagem e o DMARC indica aos servidores de receção o que fazer com o correio que falha a verificação.
O National Cyber Security Centre (NCSC) do Reino Unido avisa que um registo defensivo não protege, por si só, um domínio e aconselha a proteger primeiro os domínios que não enviam e-mail, porque, uma vez protegidos, não precisam de manutenção. Enumera quatro registos DNS, a configurar por esta ordem:
- SPF sem remetentes autorizados: v=spf1 -all;
- DMARC em _dmarc com uma política de rejeição: v=DMARC1; p=reject, mais um endereço para relatórios, para detetar abusos;
- um registo MX nulo, 0 ., quando o domínio tem um registo de endereço, mas nenhum servidor de correio;
- opcionalmente, um registo DKIM wildcard com uma chave vazia, que revoga quaisquer chaves guardadas em cache.
Para os domínios que enviam e-mail, o plano de implementação do NCSC começa o DMARC com uma política none, que apenas recolhe relatórios, passa a quarantine quando todos os remetentes legítimos passam na verificação e, depois, a reject. A verificação de zona mostra os registos SPF e DMARC de qualquer domínio. As chaves DKIM ficam sob um seletor definido pela sua plataforma de correio, por isso verifique-as aí.
O que deve fazer agora?
Faça as cinco verificações em todos os domínios que detém e, depois, defina para cada uma quando a repetir.
| Parâmetro | Como verificar | Quando voltar a verificar |
|---|---|---|
| Bloqueio de transferência e acesso à conta | Códigos de estado whois, quando o registo os publica; utilizadores da conta do registrar e autenticação multifator | Quando sai alguém com acesso à conta |
| Dados de contacto | Dados completos fornecidos pelo registrar, comparados com os dados legais da empresa | Após uma reorganização e perante qualquer pedido do registo |
| Renovação e expiração | Renovação automática, meio de pagamento, endereço dos avisos, datas de expiração | Um mês antes de cada data de expiração |
| DNSSEC | Verificação de zona: o registo DS corresponde a uma chave da zona | Após cada mudança de fornecedor de DNS |
| SPF, DKIM, DMARC | Verificação de zona; plataforma de correio para o DKIM; relatórios DMARC | Quando é adicionado ou retirado um serviço que envia e-mail em seu nome |
A Domgate regista e gere domínios de código de país para titulares de marcas e os seus consultores. Publica os registos SPF, DKIM e DMARC e leva a política DMARC até reject passo a passo. A sua auditoria de estratégia global de nomes de domínio lista cada nome com o seu titular, contactos e data de expiração e, depois, define regras de renovação e de segurança, incluindo um bloqueio no registo quando a extensão o oferece.
