Em 10 de setembro de 2026, a Cloudflare anunciou suporte à validação ML-DSA-44 no resolvedor público 1.1.1.1. A novidade permite verificar esse tipo de assinatura DNSSEC, mas a proteção pós-quântica completa depende também da adoção ao longo da cadeia de confiança. Anúncio da Cloudflare.
O que uma assinatura DNSSEC protege?
O DNS traduz nomes em informações usadas para encontrar serviços. O DNSSEC acrescenta autenticação: o resolvedor verifica assinaturas e a relação entre uma zona e sua zona superior antes de aceitar dados como seguros.
Isso ajuda a detectar respostas adulteradas. Não significa esconder a consulta de quem observa a rede: autenticidade e confidencialidade são propriedades diferentes. Protocolos como DoH e DoT tratam do transporte criptografado; DNSSEC trata da autenticidade dos dados. A distinção está descrita na RFC 4033.
O que significa ML-DSA?
O ML-DSA é um padrão de assinatura digital baseado em reticulados, publicado pelo NIST no FIPS 204. Foi desenvolvido para resistir também a adversários com computadores quânticos de grande escala. É um mecanismo de assinatura, não uma ferramenta para criptografar o conteúdo das consultas. Padrão do NIST.
Para o leitor, a pergunta útil é dupla: o resolvedor entende a assinatura e a cadeia que liga o domínio à âncora de confiança também oferece a proteção necessária? Suportar uma tecnologia em uma etapa não comprova sua adoção nas demais.
Respostas maiores podem afetar o transporte
Uma assinatura ML-DSA-44 tem 2.420 bytes, segundo o anúncio. Esse tamanho ajuda a entender por que a migração exige atenção à rede.
A RFC 9715 explica que mensagens DNS grandes sobre UDP podem sofrer fragmentação IP. Uma forma de evitá-la é limitar a resposta e sinalizar ao cliente que repita a consulta por TCP.
Na prática, ao investigar uma resposta grande, vale conferir o bit de truncamento, a possibilidade de usar TCP e os limites de tamanho no caminho. Uma repetição por outro transporte pode adicionar etapas à consulta. Isso é uma possibilidade operacional, não uma previsão de lentidão para todo usuário.
Como avaliar o desempenho na sua conexão
Nossa recomendação é separar o teste de disponibilidade da investigação criptográfica:
- Compare os resolvedores na mesma rede e janela de horário.
- Repita as medições e registre falhas, mediana, P95 e jitter quando disponíveis.
- Mantenha o mesmo conjunto de domínios e as mesmas condições de cache.
- Para uma investigação técnica, confira também assinaturas, transporte e logs do resolvedor.
Um resultado rápido em um domínio comum não comprova suporte pós-quântico. Da mesma forma, uma consulta lenta isolada não demonstra que a causa é o algoritmo. Veja o comparativo entre Cloudflare, Quad9 e Google para orientar a comparação local.
E a troca da chave-raiz em outubro?
A troca para a KSK-2024 foi uma mudança de chave na raiz. A adoção de assinaturas pós-quânticas é outra frente de evolução. Convém acompanhar as duas sem interpretar um rollover como prova de migração de algoritmo em toda a internet.
Para quem escolhe um DNS doméstico, a decisão continua exigindo disponibilidade, privacidade, compatibilidade e medições locais. A nova capacidade de validação acrescenta uma característica de segurança a essa avaliação; não substitui o benchmark.
