---
id: "624cdceb-3fde-414f-bf4b-39dfd64f4c5a"
kind: "link"
title: "A zona .pk do Paquistão agora tem assinatura da zona, mas só um domínio valida"
language: "pt-BR"
section: "cctld"
date: "2026-10-20T17:27:21Z"
updated: "2026-10-20T17:27:21Z"
canonical: "https://tldlog.com/pt/l/zona-pk-paquistao-agora-tem-assinatura-zona-so-dominio/"
origin: "reviewed"
master: "https://tldlog.com/l/pakistans-pk-now-carries-dnssec-signing-only-one-domain/"
translations:
  en: "https://tldlog.com/l/pakistans-pk-now-carries-dnssec-signing-only-one-domain/"
  es: "https://tldlog.com/es/l/pakistan-activa-firma-zona-pk-solo-dominio-valida/"
  de: "https://tldlog.com/de/l/pakistans-pk-erhaelt-dnssec-signierung-aber-nur-domain/"
  fr: "https://tldlog.com/fr/l/pk-pakistan-adopte-signature-zone-dnssec-seul-domaine-est/"
  it: "https://tldlog.com/it/l/pk-ora-ha-firma-zona-dnssec-solo-dominio-validato/"
  ru: "https://tldlog.com/ru/l/zona-pk-pakistane-poluchila-podpisanie-zony-proverku/"
  zh-Hans: "https://tldlog.com/zh/l/bajisitan-pk-qiyong-dnssec-qianming/"
source:
  name: "circleid.com"
  url: "https://circleid.com/posts/pakistans-.pk-is-now-dnssec-signed-but-only-one-domain-validates"
  language: "en"
  date: "2026-10-20T15:23:00Z"
---

# A zona .pk do Paquistão agora tem assinatura da zona, mas só um domínio valida

## em linguagem simples

DNSSEC é um sistema de segurança que permite verificar se um endereço de site leva ao lugar certo. A extensão .pk, do Paquistão, agora usa esse sistema no nível mais alto. Mas uma varredura mostrou que apenas um domínio .pk está totalmente configurado.

A zona .pk, que reúne os domínios de código de país do Paquistão, não tinha DNSSEC no início de outubro de 2026. Não havia registro DS na raiz nem prova assinada quando um nome não existia. Seis dias depois, a cadeia de confiança da raiz até a .pk passou a validar, e a zona entrou na parte assinada do espaço de nomes.

A assinatura da zona de nível superior é apenas o primeiro passo. Uma varredura de 158.561 domínios .pk em 11 de outubro, dois dias depois de o registro DS aparecer na raiz, encontrou exatamente um domínio que valida de ponta a ponta. Esse domínio é newspak.pk. Outros 1.230 domínios assinaram suas próprias zonas, mas aguardam um registro DS que a zona .pk ainda não tem. Nenhum dos cerca de 1.360 nomes sob gov.pk e os sufixos de governos provinciais está totalmente assinado.

A cronologia pode ser reconstruída a partir de fontes públicas. O DNSViz mostrava a .pk como insegura durante todo setembro. As primeiras assinaturas na zona .pk datam de 8 de outubro, cerca de um dia antes de a raiz ser atualizada. Às 22:20 UTC de 9 de outubro, o DNSViz passou a classificar a .pk como segura, e o registro da IANA para a .pk mostra a última atualização no mesmo dia. A zona usa o algoritmo 13 (ECDSA P-256 com SHA-256) e NSEC e NSEC3 sem iterações adicionais e com salt vazio, como recomenda a RFC 9276.

A varredura verificou duas partes de cada cadeia. Consultou o registro DS mantido na zona .pk e o registro DNSKEY mantido na zona do próprio domínio. Um domínio só era contado como totalmente assinado se toda a cadeia, da raiz até a .pk e depois até o domínio, validasse. Os 1.230 domínios que assinam suas zonas, mas não têm DS no domínio pai, são tratados como não assinados pelos resolvedores que validam, porque a zona .pk devolve uma prova assinada de que não existe DS. Entre eles estão accenture.pk e nexlinx.net.pk.

O restante da varredura encontrou 117.572 nomes (74%) sem assinatura, 25.875 que não existem mais e 13.883 que não puderam ser classificados, porque seus servidores de nomes estavam inacessíveis ou excederam o tempo limite.

A lacuna entre assinar uma zona e publicar seu registro DS não é nova. Um estudo do USENIX Security de 2017 sobre .com, .net e .org constatou que cerca de 30% dos domínios assinados não tinham DS no domínio pai. Assinar uma zona e levar seu DS ao domínio pai são tarefas separadas, feitas por partes diferentes, e o dono do domínio ou o provedor de DNS gera as chaves de assinatura. No caso da .pk, nomes como com.pk, org.pk, edu.pk e gov.pk fazem parte da própria zona .pk, de modo que todos os registros DS desses nomes seriam publicados por uma única organização.

Fonte: [circleid.com](https://circleid.com/posts/pakistans-.pk-is-now-dnssec-signed-but-only-one-domain-validates)