Qualquer pessoa pode abrir um navegador e consultar um site público. Isso é a base da web. Mas essa mesma abertura cria um problema para ferramentas de monitoramento: se qualquer um pode consultar, qualquer um pode cadastrar um hostname que não controla e começar a receber alertas sobre ele. Alertas sobre infraestrutura são informação sensível — indicam quando um serviço cai, quando um certificado expira, quando uma configuração muda — e entregar esse sinal para quem não é dono do domínio seria uma falha de segurança, não uma funcionalidade.
É por isso que ferramentas sérias de monitoramento pedem uma prova de posse antes de começar a observar um hostname. E é por isso que a forma mais comum de provar essa posse é um registro TXT no DNS.
Por que um GET público não é suficiente
Um GET público prova que o site responde. Não prova que o domínio é seu.
Pense em um exemplo extremo: alguém poderia cadastrar google.com em uma ferramenta de monitoramento e começar a receber notificações sobre indisponibilidade, certificado SSL e headers de segurança do Google. A ferramenta faria as checagens externas normalmente — o site é público, afinal — e entregaria ao cadastrante informações sobre a infraestrutura de um terceiro.
O problema não é teórico. Ferramentas que não exigem prova de posse viram vetor de reconhecimento: um atacante cadastra domínios de um alvo, recebe alertas sobre mudanças na infraestrutura e monta um mapa do ambiente sem precisar invadir nada.
A solução é exigir uma ação que só quem controla o DNS do domínio pode realizar.
O que é o registro TXT e por que ele funciona
DNS (Domain Name System) é o sistema que traduz nomes de domínio em endereços IP e em outros dados operacionais. Um registro TXT é um campo de texto livre associado a um nome — pode ficar na raiz do domínio (exemplo.com) ou em um subdomínio (_cymesh.exemplo.com).
Criar ou alterar um registro TXT exige acesso ao painel de DNS do domínio ou à API do provedor de DNS. Não é algo que se faça por acaso, e não é algo que se faça sem controle do domínio. É exatamente essa barreira que transforma o TXT em prova de posse.
O fluxo típico é:
- O usuário cadastra o hostname na ferramenta de monitoramento.
- A ferramenta gera um valor aleatório (um token) e pede que o usuário crie um registro TXT com esse valor em uma posição específica — por exemplo,
_cymesh.exemplo.com. - A ferramenta consulta o DNS publicamente, lê o TXT e confirma que o valor bate.
- A posse está verificada. O monitoramento começa.
Quem não controla o DNS não consegue publicar o TXT. Sem o TXT, a ferramenta não começa a observar. Simples assim.
Por que TXT e não outro registro
Existem outros tipos de registro DNS — A, AAAA, CNAME, MX, entre outros. Cada um tem um propósito específico. O TXT é escolhido para verificação de posse por algumas razões práticas:
- Não altera o funcionamento do domínio. Um registro TXT não muda para onde o site aponta, não altera rotas de e-mail, não afeta resolução de nomes. Ele fica lá como um bilhete legível por máquinas, sem efeito colateral.
- Suporta texto livre. O valor pode ser um token longo e imprevisível, adequado para verificação criptográfica.
- É o padrão do setor. ACME (o protocolo usado pelo Let's Encrypt) usa challenge DNS-01, que é essencialmente a mesma ideia: publicar um TXT para provar controle. Quem já validou um domínio no Let's Encrypt já fez esse tipo de verificação.
Alternativas como modificar um registro A ou CNAME funcionariam como prova, mas teriam efeito colateral real no tráfego. O TXT é a opção que prova sem interferir.
O que isso significa na prática
Do ponto de vista de quem usa a ferramenta, a verificação de posse é uma etapa extra. Exige acessar o painel de DNS, criar o registro, esperar a propagação (geralmente segundos a poucos minutos) e confirmar. É um passo a mais do que simplesmente digitar o domínio e clicar em "monitorar".
É também o que impede que outra pessoa receba informações sobre o seu domínio. Sem essa etapa, qualquer um poderia cadastrar qualquer hostname e ver alertas sobre ele.
Do ponto de vista de quem opera a ferramenta, a verificação de posse é uma decisão de segurança sobre quem pode receber um sinal. Monitoramento gera informação sobre falhas, configurações e infraestrutura. Essa informação precisa chegar apenas em quem tem autoridade para agir sobre ela.
Próximo passo
Se você está avaliando ferramentas de monitoramento — ou construindo uma — vale perguntar: como essa ferramenta decide quem pode receber alertas sobre um domínio? A resposta pode ser "registro TXT", "arquivo HTTP em caminho conhecido" (como o challenge HTTP-01 do ACME) ou "verificação por e-mail no WHOIS". Cada uma tem trade-offs, mas todas compartilham o mesmo princípio: provar controle antes de entregar informação.
A cymesh usa registro TXT para verificação de posse. O fluxo é o descrito acima: cadastrar o hostname, publicar o token no DNS, confirmar. É uma etapa a mais no cadastro, e é o que garante que os alertas sobre um domínio cheguem apenas em quem controla esse domínio.