Quem manda no seu DNS, e como mexer sem derrubar o e-mail

Quase todo problema que começa com "mudei uma coisa no DNS" tem a mesma origem: alguém editou a zona certa no painel errado, ou a zona errada no painel certo.

Então, antes de qualquer registro, descubra quem responde pelo seu domínio.

Registro, DNS e hospedagem são três contas

Onde você registrou o nome, onde ficam os registros DNS e onde o site está hospedado podem ser três empresas diferentes. Muitas vezes são. Uma consulta resolve a dúvida:

$ dig +short NS example.com
hera.ns.cloudflare.com.
elliott.ns.cloudflare.com.

Esses são os servidores autoritativos, os únicos que respondem oficialmente pelo domínio (a RFC 1034 descreve o modelo). Se eles são da Cloudflare, é no painel da Cloudflare que você mexe. Não importa que o domínio tenha sido registrado em outro lugar, nem que a hospedagem antiga ainda mostre uma zona cheia de registros. Aquela zona não responde por ninguém. Editar lá não muda nada, e é assim que se perde uma tarde inteira.

Os quatro campos de um registro

Todo registro tem nome, tipo, valor e TTL. O erro mais comum não é o valor errado. É o valor certo no nome errado.

• Nome: a quem o registro pertence. @ costuma ser a raiz, o próprio example.com; _dmarc vira _dmarc.example.com. Tem painel que completa o domínio sozinho e painel que não completa. Digite o nome inteiro num painel que completa e você ganha um _dmarc.example.com.example.com.
• Tipo: A e AAAA são endereços IPv4 e IPv6. CNAME é apelido para outro nome. MX diz quem recebe e-mail. TXT guarda texto, e é lá que moram SPF, DKIM e DMARC.
• Valor: copie inteiro, do painel do serviço que pediu. Sem aspas a mais, sem espaço no fim.
• TTL: quantos segundos os resolvedores podem guardar a resposta. Não é um cronômetro de "propagação".

Os tipos estão definidos na RFC 1035. Para consulta rápida, a referência da Cloudflare é mais amigável.

Antes de mexer

Exporte a zona. Quase todo painel tem esse botão, e ele gera um arquivo de texto com tudo que está publicado hoje. Guarde em lugar privado. Se o painel não exporta, copie à mão os registros do site, os MX e os TXT.

Depois escreva, numa linha, o que vai mudar: "trocar o MX para o novo provedor", "acrescentar a chave DKIM do sistema de cobrança". Se não couber numa linha, provavelmente são duas mudanças. E duas mudanças ao mesmo tempo tornam impossível saber qual delas quebrou o quê.

Para uma migração grande, baixe o TTL dos registros que vão mudar para 300 um dia antes. Na hora da troca, os resolvedores largam a resposta antiga em cinco minutos, não em um dia. Baixar o TTL só na hora não adianta: quem guardou a resposta com 86400 vai segurá-la até o fim.

E não apague os MX numa troca de hospedagem do site. Parece óbvio. Acontece mais do que deveria.

Confira o que o mundo está vendo

O painel mostra o que você salvou. O dig mostra o que está publicado. Veja o example.com, domínio reservado para exemplos que, de propósito, não usa e-mail:

$ dig +short MX example.com
0 .
$ dig +short TXT example.com
"v=spf1 -all"
"_k2n1y4vw3qtb4skdx9e7dxt97qrmmq9"
$ dig +short TXT _dmarc.example.com
"v=DMARC1;p=reject;sp=reject;adkim=s;aspf=s"

São três registros dizendo a mesma coisa de jeitos diferentes. O MX 0 . avisa que ninguém recebe ali. O SPF -all diz que ninguém pode enviar em nome dele. O DMARC pede para recusar qualquer tentativa. O segundo TXT é um código de verificação de algum serviço, coisa que aparece em quase toda zona real. (Consulta feita em 28 de outubro de 2026.)

Sem terminal, a consulta DNS faz as mesmas perguntas sobre o seu domínio. Se a resposta ainda for a antiga, olhe o TTL: é cache, não erro. Espere vencer antes de editar de novo. Editar em cima de cache é o jeito mais rápido de perder o controle de qual versão está no ar.

Depois, teste a função, não só o registro. Site: abra no navegador e olhe o certificado. Recebimento: mande uma mensagem de uma conta de fora. Envio: siga o guia de autenticação e leia os cabeçalhos.

Uma folha que salva emergência

Abra uma planilha com cinco linhas: onde o domínio está registrado e em nome de quem, quem administra o DNS, onde está o site, quem recebe o e-mail e quem envia e-mail pela empresa. Ponha o acesso de cada um no cofre de senhas da equipe.

No dia em que algo cair numa sexta à noite, essa planilha vai valer mais do que qualquer guia. Este incluído.