Bloquear domínios

O bloqueio vale para toda a base de uma vez, sem instalar nada no equipamento do assinante.

Esta página cobre os três caminhos para bloquear — um domínio, uma lista recebida, uma lista mantida por terceiros — e, principalmente, como provar que o bloqueio realmente pegou.

Onde clicar, passo a passo

Segurança → Bloqueio de domínios

A primeira aba traz as listas prontas — conjuntos mantidos por terceiros, que você liga e desliga. Cobrem a maior parte do que se quer bloquear sem trabalho manual nenhum.

Aba Domínios Customizados

É onde entram os domínios que você decide bloquear ou liberar, independentemente do que as listas de terceiros digam.

Informar o domínio

Um domínio por entrada. O bloqueio vale para toda a base de assinantes — não é por cliente.

Para agir sobre um cliente específico, o caminho é outro: veja investigar um cliente suspeito.

Escolher a política

A política decide o que o assinante recebe, e a escolha muda o suporte que você vai dar:

Política	O cliente vê	Quando usar
Domínio inexistente	"Este site não existe"	Padrão. O navegador dá erro claro e o usuário desiste
Descartar em silêncio	Nada — a consulta some	Quando não se quer sinalizar que há bloqueio. Gera reclamação de "internet lenta", porque o cliente espera até estourar o tempo
Sem registro	Resposta vazia	Casos específicos de compatibilidade
Liberar	Resolve normalmente	Exceção: tira o domínio do bloqueio das listas de terceiros

Liberar é o que resolve falso positivo. Quando uma lista pública marca por engano um serviço de que seus clientes dependem, você não desliga a lista inteira — libera aquele domínio.

Em lote

Para listas grandes, a importação aceita colar vários domínios de uma vez, um por linha, com a política e um comentário.

O comentário é o que salva meses depois, quando ninguém lembra por que aquele domínio está lá.

Um domínio de cada vez

É o caminho para o caso avulso: uma ordem judicial, um domínio que o time de segurança pediu, um site de phishing que chegou por denúncia.

Uma lista inteira de uma vez

Recebeu uma planilha com 300 domínios? É este o caminho. Na aba Domínios Customizados, o botão Importar fica no canto superior direito do quadro que lista os domínios.

O formato aceito

Uma entrada por linha, em qualquer uma das três formas:

phishing.example
*.tracker.example
falso-positivo.example,passthru,liberado pelo suporte
malware.example,nxdomain,ticket 4711

Os valores válidos de política são nxdomain, drop, nodata e passthru — os mesmos quatro da tela, escritos em minúsculas.

Linhas em branco e linhas começando com # ou ; são ignoradas, o que permite colar um arquivo comentado sem limpar antes.

Limites e o que acontece com linha inválida

Ao final, o aviso resume o que aconteceu no formato N adicionado(s) · N duplicado(s) · N com erro. Se aparecer "com erro", vale conferir o arquivo — normalmente é linha de cabeçalho ou formato de arquivo hosts que passou batido.

awk '/^(0\.0\.0\.0|127\.0\.0\.1)[ \t]/ {print $2}' hosts.txt > para-importar.txt

Exportar o que já está lá

Ainda no quadro de domínios customizados, CSV e TXT baixam o que está cadastrado:

• CSV — domain,policy,comment, com cabeçalho. É exatamente o formato que a importação aceita, então exportar de um servidor e importar em outro funciona sem edição nenhuma.
• TXT — um domínio por linha, sem política nem comentário.

É o caminho para replicar a lista manualmente entre servidores que não estão no mesmo cluster, e para guardar uma cópia antes de uma limpeza grande.

Assinar uma lista mantida por terceiros

Em vez de importar os domínios para dentro, você aponta para um arquivo publicado e o Made4DNS baixa e converte sozinho. Aba Listas de Bloqueio → Adicionar Lista.

O modal já traz três listas populares prontas para clicar; abaixo delas ficam os campos de nome, URL, política e intervalo de atualização (1 hora, 6 horas, 12 horas, 24 horas ou 7 dias).

O que o endereço precisa entregar

O arquivo pode estar em dois formatos, detectados automaticamente:

• hosts — 0.0.0.0 dominio.example ou 127.0.0.1 dominio.example
• lista simples — um domínio por linha

Linhas com # ou ; são ignoradas nos dois casos.

E o endereço precisa obedecer a três restrições, que são a causa mais comum de lista que não baixa:

O arquivo também tem teto de 64 MiB.

Quando a lista é realmente rebaixada

O download acontece quando você cria a lista, quando clica no botão de atualizar na linha dela, e quando outro servidor do cluster replica a lista. O intervalo escolhido é gravado na configuração do resolvedor, mas o Made4DNS não roda um agendador próprio que rebaixe o arquivo sozinho.

Na prática: confira a coluna Atualizado. Se a data envelheceu e a lista precisa estar fresca, force com o botão de atualizar. Se o último download falhou, a mensagem de erro aparece em vermelho embaixo do nome da lista — não é preciso caçar em log.

O botão de ver domínios (ícone de olho) abre o conteúdo baixado, com busca por trecho do nome. É a forma de confirmar que a lista trouxe o que você esperava antes de sair testando.

Listas de ameaças e Made4BLOCK

A aba Listas de ameaças (Threat Intel) é um catálogo fixo de cinco feeds de segurança, cada um com um botão de ligar e desligar. Ela não aceita URL personalizada — para isso, use a aba Listas de Bloqueio.

A aba Made4BLOCK é o serviço de listas gerenciadas (ofícios nacionais e malware curado) e exige uma chave de acesso salva antes de qualquer coisa. Detalhes na referência da tela.

Validar que pegou

Esta é a parte que separa "eu cadastrei" de "está bloqueado". Existem três camadas independentes, e validar uma não valida as outras:

A ferramenta das duas primeiras camadas é o quadro Verificar Domínios, no topo da tela de bloqueio — ele fica visível em todas as abas.

dig @192.0.2.10 phishing.example

dig @192.0.2.10 +noall +comments phishing.example

while read -r d; do
  status=$(dig @192.0.2.10 "$d" +noall +comments +tries=1 +time=2 \
           | sed -n 's/.*status: \([A-Z]*\).*/\1/p')
  printf '%-45s %s\n' "$d" "${status:-SEM RESPOSTA}"
done < lista.txt

nslookup phishing.example

Quando o bloqueio parece não ter pegado

Liberar um domínio bloqueado por engano

Quando uma lista pública marca por engano um serviço de que seus clientes dependem, você não desliga a lista inteira — libera aquele domínio.

Ordem judicial

O bloqueio entra na lista, vale para toda a base imediatamente, e a inclusão fica registrada no registro de auditoria com autor e data — que é parte da resposta ao juízo.

Vale acrescentar à resposta a evidência da validação: a saída do dig contra o IP do servidor, mostrando o domínio bloqueado, com data. É barato de produzir e responde de antemão à pergunta seguinte.

Descobrir quem está consultando um domínio

Duas formas:

• A função de observação temporária, na própria tela de bloqueio, liga por uma janela curta a captura de quais clientes consultam aquele domínio. Ela exige o registro de consultas ligado — com ele desligado, a tela recusa a captura em vez de mostrar uma lista vazia.
• A aba de investigação do registro de consultas varre todo o histórico retido por uma lista de domínios e devolve os endereços de origem.

É assim que se identifica quais máquinas da base estão infectadas.

Armadilhas

1. Curinga não cobre o domínio raiz. *.dominio.example não bloqueia dominio.example. Cadastre as duas entradas.
2. A importação em massa recusa o lote inteiro acima de 10.000 linhas — nada entra. Quebre o arquivo.
3. Vírgula no comentário corta o comentário, porque a vírgula é o separador de campos da importação.
4. A importação não entende formato hosts (0.0.0.0 dominio). Esse formato só vale na assinatura por URL.
5. O modo "Está na lista" também acusa os domínios que você liberou — eles aparecem na zona made4dns_allow. Leia o nome da zona antes de concluir que está bloqueado.
6. Lista por URL só em HTTP/HTTPS, sem redirecionamento e em endereço público. Servidor interno e repositório privado não funcionam.
7. A aba de listas de ameaças não aceita URL personalizada — é um catálogo fixo. URL própria só na aba Listas de Bloqueio.
8. Feeds que bloqueiam por IP nunca aparecem na verificação por nome. Só o modo "recursor bloqueia" os revela.
9. A verificação ao vivo testa o servidor em que você está logado. Em cluster, confira cada um.
10. O modo manutenção do firewall desliga o bloqueio por completo, inclusive ordens judiciais.
11. A contagem de bloqueios é opcional, vem desligada e é amostrada — coluna vazia não significa que ninguém tentou acessar.