CNAME ou registro A: qual usar e a regra do ápice

O que um registro A e um CNAME realmente fazem

Os dois registros respondem à mesma pergunta — para onde este nome aponta? — mas respondem com tipos diferentes de informação, e só essa diferença explica todas as regras que vêm depois.

Um registro A aponta um nome diretamente para um endereço IPv4. example.com → 203.0.113.10. É o fim da cadeia: o resolvedor já tem o que precisa e para. (O equivalente em IPv6 é o registro AAAA, e tudo neste guia se aplica a ele igualmente.)

Um registro CNAME aponta um nome para outro nome. www.example.com → example.com, ou loja.example.com → minhaloja.meuprovedor.net. O resolvedor não recebe um endereço: recebe um segundo nome que agora precisa consultar. CNAME quer dizer “canonical name”, e o registro se lê melhor como uma frase: o nome verdadeiro disto está lá, pergunte por aquele em vez deste.

Esse redirecionamento é justamente o objetivo. Se aquilo para onde você aponta mudar de endereço IP algum dia, o CNAME continua funcionando sem que você toque em nada, porque você nunca anotou o endereço.

A diferença que realmente importa

Na prática a escolha se resume a uma pergunta: de quem é o endereço?

• É seu — um servidor, um VPS, um balanceador de carga com IP fixo que você controla. Use um registro A. Você conhece o endereço, ele não vai mudar sem você saber, e uma resposta direta é a mais rápida.
• É de outra pessoa — uma plataforma de hospedagem, uma CDN, um construtor de lojas, um serviço de formulários ou de página de status. Use um CNAME. Os endereços deles mudam, muitas vezes em silêncio e sem aviso, e um CNAME faz com que a mudança deles não seja a sua queda.

É por isso que a página de configuração de qualquer plataforma pede para você criar um CNAME em vez de entregar um IP. Não é convenção: é a reserva do direito de mudar de lugar. Quem fixa o IP atual deles em um registro A se desligou silenciosamente da janela de manutenção deles.

Há mais uma diferença estrutural, e ela derruba muita gente: um nome que tem um CNAME não pode ter nenhum outro registro. A norma é explícita. Se www.example.com é um CNAME, ele não pode carregar também um registro TXT, um MX ou um A. A maioria dos provedores se recusa a salvar o segundo registro, mas alguns aceitam e simplesmente passam a se comportar de forma imprevisível — uma maneira bem desagradável de passar a tarde.

Por que o ápice não pode ser um CNAME

O ápice — também chamado de raiz, ápice de zona ou domínio nu — é example.com sem nada na frente. E é o único nome da sua zona que não pode ser um CNAME. Não é uma limitação inventada pelo seu provedor: decorre da regra acima.

O seu ápice já carrega registros que precisam existir para o domínio funcionar: os registros NS, que nomeiam seus servidores de nomes autoritativos, e o registro SOA, que descreve a zona. Eles vivem no ápice por definição. Como um CNAME proíbe qualquer outro registro no mesmo nome, e o ápice é obrigado a ter NS e SOA, um CNAME no ápice é uma contradição. Um servidor DNS que siga a norma não vai servi-lo.

Isso tem uma consequência prática que as pessoas descobrem no pior momento. Os seus registros MX também ficam no ápice. Se algum provedor deixar você forçar um CNAME ali, você não apontou apenas o site: colocou o seu e-mail em estado indefinido, porque o nome agora afirma ter o nome canônico em outro lugar e, ao mesmo tempo, precisa responder consultas MX.

O que colocar no ápice em vez disso

Existem quatro respostas viáveis, mais ou menos na ordem em que você deve preferi-las.

Use o registro alias do seu provedor

A maioria dos provedores de DNS modernos oferece um tipo de registro que se comporta como um CNAME mas é válido no ápice: ALIAS, ANAME ou o achatamento de CNAME da Cloudflare. Os nomes mudam, o mecanismo é o mesmo: o servidor de nomes resolve o destino por conta própria e responde à consulta com o registro A resultante. O mundo externo vê um registro A perfeitamente comum, nenhuma regra é quebrada, e você continua sem ter anotado um IP.

É a resposta certa sempre que o seu provedor oferecer. O detalhe é que é um recurso do provedor, não do DNS: mova a sua zona para um que não ofereça e o registro não vai com você.

Redirecione o ápice para www

Coloque o site de verdade em www com um CNAME — totalmente válido — e faça do ápice um redirecionamento para ele. Muitos registradores e todas as CDNs oferecem isso como uma configuração de uma linha, normalmente chamada de encaminhamento de domínio ou regra de redirect. Você fica com um CNAME limpo onde importa e um único nome canônico, o que é bom para SEO de qualquer jeito.

O custo é estético: a sua URL visível tem um www., e algumas pessoas têm opiniões fortes sobre isso.

Use um registro A, com consciência

Se a plataforma publica um endereço IP fixo e se compromete com ele por escrito, um registro A no ápice está bem. A palavra que faz o trabalho é “compromete”. Um IP que você descobriu pingando o destino do CNAME deles não é um compromisso, é um retrato do momento, e vai mudar.

Se fizer isso, reduza a TTL do registro antes de qualquer migração planejada, para não ficar esperando caches no dia em que o endereço realmente mudar.

Confira o que você tem de fato

Antes de mudar qualquer coisa, olhe o estado atual da zona em vez de confiar no resumo do painel. Consulte o ápice e o nome www separadamente e compare: você quer saber se cada um responde com registro A ou com CNAME, e se já existe algo inesperado ali. Uma ferramenta gratuita de consulta DNS mostra o tipo de registro, o valor e a TTL restante de cada um.

Quando o CNAME é a escolha certa

Use um CNAME sempre que o destino for um nome que você não controla:

• Subdomínios apontando para uma plataforma — loja, docs, status, blog, ajuda para um serviço hospedado. É de longe o uso correto mais comum.
• Uma CDN na frente da sua origem, quando a CDN entrega um nome de host como d1234.cloudfront.net.
• Registros de verificação e de serviço que um fornecedor pede para criar como CNAME, muitas vezes com um rótulo longo e aleatório.
• Manter www acompanhando o ápice, para que uma mudança atualize os dois.

Nos quatro casos o valor é o mesmo: o fornecedor pode mudar de infraestrutura e o seu DNS continua funcionando sem ser tocado.

Quando o registro A é a escolha certa

Um registro A é o correto quando o endereço é seu:

• O seu próprio servidor ou VPS com IP fixo.
• O ápice, quando não há registro alias disponível e a plataforma publica um IP estável.
• Um balanceador de carga que o seu provedor entrega como endereço e não como nome de host.
• Hosts de infraestrutura — um servidor de e-mail nomeado em um registro MX, por exemplo, precisa resolver por A ou AAAA. Um registro MX não pode apontar para um CNAME, e os servidores de e-mail rejeitam isso.

Esse último pega quem está migrando e-mail. mail.example.com como CNAME parece inofensivo e quebra a entrega de formas tediosas de diagnosticar.

A consulta extra e a segunda TTL

Um CNAME custa um passo a mais. O resolvedor pergunta pelo seu nome, recebe “pergunte por este outro nome” e pergunta de novo. Na prática essa ida e volta extra são alguns milissegundos e quase sempre vêm do cache, então não é motivo para evitar CNAMEs — mas há duas consequências que vale conhecer.

Primeiro, uma cadeia de CNAME apontando para outro CNAME apontando para outro CNAME adiciona um passo a cada vez. Dois elos é normal; uma cadeia longa é um problema de latência e uma dependência frágil, porque qualquer elo que se rompa derruba o seu nome.

Segundo, um CNAME traz uma segunda TTL com ele. O resolvedor guarda o seu CNAME com a sua TTL e guarda o registro do destino com a TTL do destino, cada um em contagem própria. A sua espera real quando algo muda é a mais longa das duas — e é por isso que um CNAME apontando para um provedor de TTL longa pode ficar atrás da sua própria configuração, por baixa que você a coloque. Se você está planejando uma mudança, como a TTL e a propagação funcionam de verdade explica a sequência que evita interrupção.

Erros comuns

• Forçar um CNAME no ápice porque a interface do provedor permitiu. Isso coloca os seus registros MX — o seu e-mail — em comportamento indefinido.
• Adicionar um TXT ou um MX a um nome que já tem um CNAME. Não é válido, e os provedores discordam sobre como falhar.
• Copiar o IP atual de uma plataforma para um registro A em vez de usar o CNAME que pediram. Funciona até o dia em que não funciona, e ninguém vai te avisar.
• Apontar um registro MX para um CNAME. Os servidores de e-mail de destino rejeitam; use um nome com registro A.
• Configurar www e esquecer o ápice, ou o contrário. Decida qual é o canônico, aponte o outro para ele e mantenha certificados cobrindo os dois.
• Mudar tipo e valor do registro de uma vez sem reduzir a TTL antes, e depois se perguntar por que metade do mundo ainda vê o destino antigo.

Versão curta

Use um registro A quando o endereço IP é seu; use um CNAME quando você aponta para o nome de host de outra pessoa e quer que as mudanças de infraestrutura dela sejam invisíveis para você. O seu ápice não pode ser um CNAME, porque precisa carregar os registros NS e SOA e um CNAME não admite companhia no mesmo nome — então use ali o ALIAS, o ANAME ou o achatamento de CNAME do seu provedor, redirecione o ápice para www, ou use um registro A só quando a plataforma publicar um endereço estável. Veja para onde um domínio resolve hoje, com o tipo de registro e a TTL restante, na ferramenta gratuita de consulta DNS, e confirme o certificado do novo host com o verificador de certificados SSL.

Ferramentas e guias relacionados:

• Consulta de DNS — Consulte registros A, AAAA, MX, TXT, NS e mais, com valores e TTL, além de DNS reverso.
• Verificador de certificados SSL — Verifique o certificado SSL de qualquer domínio: emissor, data de expiração e dias restantes.
• Por que mudanças de DNS demoram: TTL e propagação — Uma mudança de DNS não é lenta, está em cache

Perguntas frequentes