Exibindo 26 de 26
Números de algoritmo DNSKEY e RRSIG, com as orientações da RFC 9904 para assinatura e validação.
| Valor | Mnemônico | Descrição | Referências |
|---|---|---|---|
0 | DELETE | DELETE (algoritmo DNSSEC 0): Delete DS. Assinatura de zonas: sem orientação; validação: sem orientação. | RFC 4034RFC 4398RFC 8078 |
1 | RSAMD5 | RSAMD5 (algoritmo DNSSEC 1): RSA/MD5 (DEPRECATED, see 5). Assinatura de zonas: NÃO DEVE; validação: NÃO DEVE. | RFC 3110RFC 4034 |
2 | DH | DH (algoritmo DNSSEC 2): Diffie-Hellman. Assinatura de zonas: sem orientação; validação: sem orientação. | RFC 2539 |
3 | DSA | DSA (algoritmo DNSSEC 3): DSA/SHA1. Assinatura de zonas: NÃO DEVE; validação: NÃO DEVE. | RFC 3755RFC 2536Federal Information Processing Standards Publication (FIPS PUB) 186, Digital Signature Standard, 18 May 1994Federal Information Processing Standards Publication (FIPS PUB) 180-1, Secure Hash Standard, 17 April 1995. (Supersedes FIPS PUB 180 dated 11 May 1993.) |
5Nota | RSASHA1 | RSASHA1 (algoritmo DNSSEC 5): RSA/SHA-1. Assinatura de zonas: NÃO DEVE; validação: RECOMENDADO. | RFC 3110RFC 4034RFC 9905 |
6 | DSA-NSEC3-SHA1 | DSA-NSEC3-SHA1 (algoritmo DNSSEC 6): DSA-NSEC3-SHA1. Assinatura de zonas: NÃO DEVE; validação: NÃO DEVE. | RFC 5155 |
7 | RSASHA1-NSEC3-SHA1 | RSASHA1-NSEC3-SHA1 (algoritmo DNSSEC 7): RSASHA1-NSEC3-SHA1. Assinatura de zonas: NÃO DEVE; validação: RECOMENDADO. | RFC 5155RFC 9905 |
8Nota | RSASHA256 | RSASHA256 (algoritmo DNSSEC 8): RSA/SHA-256. Assinatura de zonas: RECOMENDADO; validação: RECOMENDADO. | RFC 5702 |
10 | RSASHA512 | RSASHA512 (algoritmo DNSSEC 10): RSA/SHA-512. Assinatura de zonas: NÃO RECOMENDADO; validação: RECOMENDADO. | RFC 5702 |
12 | ECC-GOST | ECC-GOST (algoritmo DNSSEC 12): GOST R 34.10-2001 (DEPRECATED). Assinatura de zonas: NÃO DEVE; validação: NÃO DEVE. | RFC 5933Change the status of GOST Signature Algorithms in DNSSEC in the IETF stream to HistoricRFC 9906 |
13Nota | ECDSAP256SHA256 | ECDSAP256SHA256 (algoritmo DNSSEC 13): ECDSA Curve P-256 with SHA-256. Assinatura de zonas: RECOMENDADO; validação: RECOMENDADO. | RFC 6605 |
14 | ECDSAP384SHA384 | ECDSAP384SHA384 (algoritmo DNSSEC 14): ECDSA Curve P-384 with SHA-384. Assinatura de zonas: PODE; validação: RECOMENDADO. | RFC 6605 |
15Nota | ED25519 | ED25519 (algoritmo DNSSEC 15): Ed25519. Assinatura de zonas: RECOMENDADO; validação: RECOMENDADO. | RFC 8080 |
16 | ED448 | ED448 (algoritmo DNSSEC 16): Ed448. Assinatura de zonas: PODE; validação: RECOMENDADO. | RFC 8080 |
17 | SM2SM3 | SM2SM3 (algoritmo DNSSEC 17): SM2 signing algorithm with SM3 hashing algorithm. Assinatura de zonas: PODE; validação: PODE. | RFC 9563 |
18 | MLDSA44 | MLDSA44 (algoritmo DNSSEC 18): ML-DSA-44. Assinatura de zonas: PODE; validação: PODE. | draft-westerbaan-dnssec-mldsa-03 |
23 | ECC-GOST12 | ECC-GOST12 (algoritmo DNSSEC 23): GOST R 34.10-2012. Assinatura de zonas: PODE; validação: PODE. | RFC 9558 |
252 | INDIRECT | INDIRECT (algoritmo DNSSEC 252): Reserved for Indirect Keys. Assinatura de zonas: sem orientação; validação: sem orientação. | RFC 4034 |
253 | PRIVATEDNS | PRIVATEDNS (algoritmo DNSSEC 253): private algorithm. Assinatura de zonas: PODE; validação: PODE. | RFC 4034 |
254 | PRIVATEOID | PRIVATEOID (algoritmo DNSSEC 254): private algorithm OID. Assinatura de zonas: PODE; validação: PODE. | RFC 4034 |
| Intervalo | Status | Descrição |
|---|---|---|
| 4 | reserved | Reserved |
| 9 | reserved | Reserved |
| 11 | reserved | Reserved |
| 19–22 | unassigned | Unassigned |
| 24–122 | unassigned | Unassigned |
| 123–251 | reserved | Reserved |
| 255 | reserved | Reserved |
Fonte: DNSSEC algorithm numbers and DS digest types (IANA), consultada em 2026-10-20. Licença dos dados: CC0-1.0. DNS Security Algorithm Numbers
Algoritmo DNSSEC 5, RSA com SHA-1: NÃO DEVE ser usado para assinar, mas ainda é validado.
A orientação do registro classifica o RSA/SHA-1 como NÃO DEVE para assinatura por causa das fraquezas do SHA-1, enquanto os validadores ainda o aceitam para que as zonas assinadas restantes não falhem. Convém que as zonas que ainda usam o algoritmo 5 ou 7 façam o rollover para o 13 ou o 15.
Algoritmo DNSSEC 8, RSA com SHA-256, ainda o algoritmo DNSSEC mais implantado.
Muitos domínios de nível superior e a zona raiz assinam com o algoritmo 8. Os validadores DEVEM oferecer suporte a ele; para zonas novas, o registro recomenda o algoritmo 13 (ou o 15), cujas assinaturas muito menores mantêm as respostas pequenas.
Algoritmo DNSSEC 13, ECDSA na P-256: o algoritmo recomendado para assinar zonas.
O algoritmo 13 (RFC 6605) produz assinaturas de 64 bytes e chaves de 64 bytes, muito menores que as do RSA, o que mantém as respostas DNSSEC abaixo dos limites de fragmentação. O registro da IANA o classifica como RECOMENDADO para assinatura e DEVE para validação (a RFC 9904 transferiu essa orientação para o registro).
Algoritmo DNSSEC 15, Ed25519 (RFC 8080), recomendado tanto para assinatura quanto para validação.
As assinaturas Ed25519 são determinísticas, então não é preciso aleatoriedade a cada assinatura. O suporte nos validadores cresceu devagar, e é por isso que o algoritmo 13 continua sendo a escolha mais comum para zonas novas.
Algoritmos de digest dos registros DS, com as orientações para delegação e validação.
| Valor | Hash | Descrição | Referências |
|---|---|---|---|
1 | SHA-1 | O tipo de digest DS 1 usa SHA-1. Delegação: NÃO DEVE; validação: RECOMENDADO. | RFC 3658RFC 9905 |
2 | SHA-256 | O tipo de digest DS 2 usa SHA-256. Delegação: RECOMENDADO; validação: RECOMENDADO. | RFC 4509 |
3 | GOST R 34.11-94 | O tipo de digest DS 3 usa GOST R 34.11-94. Delegação: NÃO DEVE; validação: NÃO DEVE. | RFC 5933Change the status of GOST Signature Algorithms in DNSSEC in the IETF stream to HistoricRFC 9906 |
4 | SHA-384 | O tipo de digest DS 4 usa SHA-384. Delegação: PODE; validação: RECOMENDADO. | RFC 6605 |
5 | Streebog-256 | O tipo de digest DS 5 usa Streebog-256. Delegação: PODE; validação: PODE. | RFC 9558 |
6 | SM3 | O tipo de digest DS 6 usa SM3. Delegação: PODE; validação: PODE. | RFC 9563 |
| Intervalo | Status | Descrição |
|---|---|---|
| 0 | reserved | Reserved |
| 7–127 | unassigned | Unassigned |
| 128–252 | reserved | Reserved |
| 253–254 | private | Reserved for Private Use |
| 255 | unassigned | Unassigned |
Fonte: DNSSEC algorithm numbers and DS digest types (IANA), consultada em 2026-10-20. Licença dos dados: CC0-1.0. Digest Algorithms (DS RR Type Digest Algorithms)