Consulta DNS reverso: descubra o registro PTR de um IP

No DNS comum, você pergunta por um nome (exemplo.com.br) e recebe um endereço em um registro A ou AAAA. No DNS reverso a pergunta é feita ao contrário, e para isso existem duas zonas especiais na árvore do DNS.

• IPv4: in-addr.arpa. Os quatro números do endereço são escritos em ordem inversa e recebem o sufixo in-addr.arpa. O PTR de 203.0.113.25 é procurado em 25.113.0.203.in-addr.arpa. A inversão existe porque o DNS lê os nomes do mais geral para o mais específico, da direita para a esquerda, enquanto um IP vai da rede para o host da esquerda para a direita.
• IPv6: ip6.arpa. O endereço é expandido por completo, sem abreviações, e cada um dos seus 32 dígitos hexadecimais vira um rótulo próprio: os dígitos são escritos em ordem inversa, separados por pontos, com o sufixo ip6.arpa. Por isso os nomes reversos de IPv6 são tão longos.
• Quem responde. A zona reversa de cada bloco é delegada a quem recebeu esse bloco do registro regional de internet. É nos servidores dessa organização que o PTR fica, não nos servidores de nomes do seu domínio.

No resultado, o campo Nome PTR mostra exatamente esse nome invertido que foi consultado, e o Resultado PTR mostra o hostname que ele devolveu. Quer saber qual organização detém o bloco? A consulta de ASN mostra a rede que anuncia o IP, e a consulta WHOIS traz o registro do bloco, com o contato de abuso.

O resultado chega com uma etiqueta e alguns campos. Lidos em ordem, eles respondem a três perguntas: existe PTR, qual nome ele declara e se esse nome confirma o IP.

• FCrDNS confirmado. O IP tem PTR e pelo menos um dos nomes devolvidos resolve de volta para o mesmo IP. É o melhor resultado possível para um servidor que envia e-mail.
• PTR encontrado. Existe um registro PTR, mas o nome dele não resolve para o IP original, ou não resolve para nada. A declaração existe; a confirmação, não.
• Sem PTR. Não há registro reverso para o endereço. Em uma conexão doméstica, isso não tem importância; em um servidor de e-mail, é um problema.
• Endereços da resolução direta. Os registros A e AAAA que o hostname do PTR devolve agora. É aqui que você vê para onde o nome aponta de verdade. Quando não há PTR, não há nome para verificar, e o campo de DNS reverso confirmado aparece como Não verificado.

Abaixo dos campos aparecem notas sobre e-mail e sobre o provedor. Os nomes PTR costumam seguir convenções de quem detém o IP: pools dinâmicos de acesso residencial, hosts de VPS, gateways de e-mail ou nós de CDN. Um nome que repete o próprio IP com hífens, como 203-0-113-25.cliente.exemplo.com.br, quase sempre é um PTR genérico, gerado automaticamente pelo provedor. Ele indica quem administra a rede, não quem usa o endereço. A resposta completa, em JSON, fica nos detalhes técnicos logo abaixo do resultado.

Quem controla uma zona reversa pode escrever ali o nome que quiser, inclusive o de um domínio que não é seu. Por isso o PTR, sozinho, não prova nada. A verificação que dá peso a ele tem dois passos.

1. Consulta reversa. O IP 203.0.113.25 tem um PTR que aponta para mail.exemplo.com.br.
2. Consulta direta. O registro A (ou AAAA, no caso de IPv6) de mail.exemplo.com.br devolve 203.0.113.25.

Se os dois sentidos fecham, o nome está confirmado: quem controla o IP e quem controla o domínio dizem a mesma coisa. Esse é o DNS reverso confirmado, conhecido pela sigla FCrDNS (forward-confirmed reverse DNS). Quando o registro A do hostname aponta para outro endereço, a verificação falha. Na prática, isso costuma significar que o PTR foi configurado com o nome errado, ou que o registro A mudou e ninguém atualizou o PTR. A correção é alinhar os dois.

Um limite que convém deixar claro: a verificação só checa se os registros A e AAAA devolvidos pelo resolvedor contêm o IP original. Ela não diz se o servidor nesse endereço está bem configurado nem se é confiável. Para conferir os outros registros do domínio, como MX e TXT, use a consulta DNS.

É no e-mail que o DNS reverso deixa de ser curiosidade: muitos servidores de recebimento conferem o PTR do IP que entrega a mensagem antes de aceitá-la. O que fazer depende de quem envia.

• Você mantém o próprio servidor de e-mail. Configurar o PTR do IP de envio é um dos passos mais importantes para a entrega. O nome deve ser um hostname do seu domínio que resolva para esse mesmo IP.
• Você envia por um serviço de e-mail ou pelo provedor. O PTR dos IPs de envio é responsabilidade deles. Não há o que configurar do seu lado.
• Suas mensagens estão voltando. Confira também a reputação do IP de envio no verificador de lista negra de IP. Um PTR correto não compensa um IP listado.

Um PTR válido é uma condição comum para aceitar e-mail, não uma garantia de entrega: ele não prova que o remetente é legítimo e não substitui SPF, DKIM e DMARC, que são configurados no DNS do domínio.

Uma dúvida frequente depois da consulta é onde se muda isso. Não é no painel de DNS do seu domínio: o PTR mora na zona reversa do bloco de IPs, e quem a controla é quem detém o endereço.

1. Descubra quem detém o IP. Em geral é o provedor de internet, a empresa de hospedagem ou o provedor de nuvem. A consulta de ASN mostra a operadora da rede.
2. Crie primeiro o registro direto. O hostname que você quer no PTR, por exemplo mail.exemplo.com.br, precisa ter um registro A ou AAAA apontando para o IP. Esse sim fica no DNS do seu domínio.
3. Peça o PTR a quem detém o IP. Em muitos provedores de VPS e de nuvem existe um campo de DNS reverso no painel; em outros, é um pedido ao suporte. Em conexões residenciais, raramente é possível.
4. Consulte de novo. Depois da alteração, repita a consulta nesta página. Os resolvedores podem manter a resposta antiga em cache até o TTL expirar, então uma mudança recente pode demorar a aparecer.

Se o resultado mostra um PTR genérico ou desatualizado em um IP que não é seu, como o de um servidor que envia mensagens para você, não há como corrigir do seu lado: só quem detém o bloco pode mudar o registro. Se você não sabe qual é o seu IP público, a verificação de qual é o meu IP mostra para você.

O PTR é uma anotação feita por quem detém o IP, não um certificado. Estas são as conclusões que ele não sustenta.

• Não prova quem usa o IP. O PTR é o nome que o detentor do bloco publicou. Ele pode estar desatualizado, ser genérico ou ter sido escrito antes de o endereço mudar de cliente.
• A falta de PTR não é sinal de má intenção. É normal em faixas residenciais e de nuvem; só pesa de verdade em servidores de e-mail.
• Um PTR confirmado não é selo de confiança. Ele mostra que o IP e o nome concordam entre si, e só isso.
• Não mostra a localização. Alguns provedores incluem abreviações de cidades nos nomes, mas isso é convenção interna e pode estar desatualizado. Para estimar o país e a cidade de um IP, use a geolocalização de IP.

Por isso o resultado é um sinal público e limitado: descreve o que a zona reversa responde agora. Os critérios de cada sinal estão na metodologia em português.

O que é um registro PTR?

Um registro PTR (de pointer, ponteiro) associa um endereço IP a um nome de host: é o inverso de um registro A. Ele é publicado por quem detém o IP, normalmente o provedor de internet ou de hospedagem, na zona in-addr.arpa para IPv4 ou ip6.arpa para IPv6. Por exemplo, o PTR do IP 8.8.8.8 é dns.google. Ele serve para identificar servidores, verificar IPs que enviam e-mail e depurar conexões de rede.

Como fazer uma consulta de DNS reverso?

Digite o endereço IPv4 ou IPv6 público no campo desta página e clique em Consultar. Você recebe o registro PTR, o nome consultado na zona reversa e o resultado da verificação direta, que diz se o hostname resolve de volta para o mesmo IP. Na linha de comando, o equivalente é dig -x seguido do IP, ou nslookup seguido do IP.

Por que o PTR é importante para o e-mail?

Muitos servidores de recebimento verificam se o IP de envio tem um PTR e se o nome desse PTR resolve de volta para o mesmo IP. Se o PTR falta ou não confere, a mensagem costuma ir para o spam ou ser recusada. Quem mantém o próprio servidor de e-mail deve configurar o PTR do IP de envio com um hostname do próprio domínio.

Meu IP não tem PTR. Isso é um problema?

Depende do uso. Em um IP residencial, a falta de PTR é normal e não afeta a navegação. Em um servidor de e-mail, é um problema sério, que leva mensagens ao spam ou à recusa. Em IPs de VPN ou de hospedagem, a ausência pode pesar em ferramentas que avaliam reputação. Para criar o PTR, fale com quem fornece o IP: você não consegue criá-lo no DNS do seu domínio.

O que significa quando o hostname do PTR não resolve de volta para o IP?

Significa que o DNS reverso confirmado (FCrDNS) falhou: o IP aponta para um nome, mas o registro A ou AAAA desse nome aponta para outro endereço, ou para nenhum. Servidores de e-mail e ferramentas de segurança tratam isso como suspeito. Em geral, o PTR foi configurado com o nome errado ou o registro A mudou sem que o PTR fosse atualizado. A correção é alinhar os dois.

Posso mudar o DNS reverso no painel do meu domínio?

Não. O PTR fica na zona reversa do bloco de IPs, que pertence a quem detém o endereço, não ao dono do domínio. No painel do domínio você cria o registro A do hostname; o PTR você pede ao provedor do IP, que em muitos serviços de VPS e de nuvem oferece um campo próprio para isso.

O DNS reverso mostra todos os sites hospedados em um IP?

Não. O PTR costuma devolver um único nome, escolhido por quem detém o IP, e em geral é o do servidor, não o dos sites. Em hospedagem compartilhada e atrás de CDN, muitos domínios dividem o mesmo IP sem aparecer no DNS reverso. Listar esses domínios é outra técnica, que esta consulta não faz.

A consulta de DNS reverso funciona com IPv6?

Sim. Digite o endereço IPv6 público, por exemplo 2001:4860:4860::8888. O nome reverso é montado na zona ip6.arpa, com os 32 dígitos hexadecimais em ordem inversa, e a verificação direta é feita da mesma forma, agora com registros AAAA. Endereços privados, de loopback, link-local e reservados são recusados nas duas versões.