Auditor de cadeia DNSSEC e confiança RDAP

O auditor percorre a cadeia de confiança completa de um domínio em nove passos pass/fail. Começa no registro bootstrap RDAP da IANA (data.iana.org/rdap/dns.json) para descobrir o servidor de registro autoritativo do TLD, depois consulta esse registro via RDAP — entidade registrante, eventos de criação/expiração, códigos de status EPP, nameservers e a visão secureDNS do registro. Em paralelo, o lado DNSSEC resolve via DNS-over-HTTPS (AliDNS com failover Cloudflare/Google, selecionável): busca o conjunto DNSKEY raiz e verifica os digests SHA-256 DS das âncoras de confiança raiz embutidas (KSK-2017 tag 20326 e KSK-2024 tag 38696, coerentes com o root-anchors.xml publicado pela IANA) e desce — o DS que a raiz publica para o TLD é recalculado do RDATA do DNSKEY do TLD, e o DS que o TLD publica para o domínio, do RDATA do DNSKEY do ápice, byte a byte. Divergências, assinaturas RRSIG expiradas ou perto de expirar (aritmética de número de série sobre os campos de 32 bits), delegações não assinadas e registros DS ausentes são marcados com seus key tags, algoritmos e digests calculados exatos. Escopo: a correspondência de digests DS↔DNSKEY é a cola criptográfica da cadeia de delegação; a validação completa de assinaturas RRSIG por RRset é relatada via flag AD do resolvedor e checagens de expiração, não por verificação RSA/ECDSA local.