# HTTPS, DNSSEC e certificados: como a RN protege sua conexão

Veja como certificados ACM, operações de chave no enclave e DNS assinado protegem a entrada da RN. Conheça o alcance de cada controle.

Rota Nacional · 2026-11-02T02:35:00Z · 2026-11-02T02:35:00Z

## HTTPS autentica a conexão

O domínio principal da RN e a entrada platform usam certificados do AWS Certificate Manager, ou ACM, com exportação desativada. As operações com a chave privada ocorrem no enclave de TLS, o protocolo usado pelo HTTPS.

O Nginx usa o resultado dessas operações para terminar a conexão. O núcleo não depende de um arquivo PEM exportável com a chave privada. Depois dessa etapa, o aplicativo ainda recebe o conteúdo necessário à tarefa.


## DNSSEC autentica as respostas de DNS

DNS traduz o nome do serviço para seu endereço. DNSSEC acrescenta assinaturas que um resolvedor validador pode conferir. A assinatura precisa de uma cadeia até a raiz, com o registro DS publicado no registrador.

A RN publicou o DS e conferiu a cadeia completa dos registros do domínio principal e de platform. DNSSEC não cifra consultas nem substitui HTTPS. A validação também depende do resolvedor usado pelo cliente.


## CAA restringe quem pode emitir

O registro CAA do núcleo permite emissão pela Amazon. Ele informa às autoridades certificadoras quais emissores estão autorizados. Dev e homologação têm exceções específicas para seus certificados Let's Encrypt.

Domínios de clientes mantêm certificados e identidade próprios. Um certificado de um cliente não é usado como identidade de outro. Separar domínios não significa fornecer uma máquina exclusiva.


## Monitorar faz parte da operação

O desenho inclui alertas de DNSSEC, mudanças de DNS e disponibilidade. O supervisor interno acompanha os processos críticos e fecha a admissão em falha persistente. A abertura volta a exigir ação do dono.

Esses controles reduzem riscos diferentes. Eles não impedem toda interrupção e não autorizam o envio de dados a um modelo. Conta, organização, barreira e consentimento continuam valendo em cada integração.


## Perguntas frequentes

DNSSEC substitui HTTPS?

Não. DNSSEC permite conferir a autenticidade das respostas DNS. HTTPS autentica e cifra a conexão com o serviço. Os dois controles têm funções diferentes.

Todo o conteúdo é processado dentro do enclave?

Não. O enclave TLS protege operações com a chave privada. O Nginx termina HTTPS, e o aplicativo processa o conteúdo necessário à tarefa. A política da organização continua definindo o que pode sair.


- [ACM para Nitro Enclaves](https://docs.aws.amazon.com/enclaves/latest/user/nitro-enclave-refapp.html)
- [DNSSEC no Route 53](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/dns-configuring-dnssec.html)
- [Registros CAA no Route 53](https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/ResourceRecordTypes.html#CAAFormat)

[Integrar pela API da RN](https://rota-nacional.ia.br/pt/docs/)

Use a rota protegida compatível com a política da organização. Você não precisa incluir a mesma política e cobrança de uso em cada cliente.
- [Usar com agente](https://rota-nacional.ia.br/llms.txt)

[HTTPS, DNSSEC e certificados: como a RN protege sua conexão](https://rota-nacional.ia.br/pt/artigos/certificados-dns-seguranca-api-ia/)