Quando Seu Domínio Vira Brinquedo de Desconhecidos: Wildcard DNS e GitHub Pages

Você está viajando pela África com conexão instável. Tudo vai bem até o momento em que abre o e-mail. O Google Search Console avisa que alguém assumiu o controle de um subdomínio seu.

O susto é imediato.

Não é história inventada. Aconteceu com um desenvolvedor que hospedava um visualizador 3D no GitHub Pages. Enquanto ele estava fora do ar, outra pessoa configurou kafka.immersivepoints.com e passou a servir conteúdo sob o domínio dele. Só descobriu semanas depois.

Conveniência que abre brechas

GitHub Pages é prático. Ele permite hospedar sites estáticos sem precisar gerenciar servidores. Basta apontar os registros DNS para os servidores da plataforma e o site entra no ar.

O desenvolvedor optou pela solução mais simples: criou um registro wildcard (*.immersivepoints.com) que direcionava todo subdomínio para o GitHub. Parecia eficiente. Era, de fato, vulnerável.

Ele partia da ideia de que, por ser dono do domínio, ninguém mais poderia usar subdomínios. A realidade é diferente.

Como o GitHub resolve CNAMEs

O problema está na forma como o GitHub trata os arquivos CNAME. Qualquer repositório que aponte para um subdomínio é atendido, desde que os registros DNS já estejam configurados. Não existe verificação de propriedade.

Assim, outro usuário criou um repositório com um arquivo CNAME apontando para kafka.immersivepoints.com. O GitHub começou a servir aquele conteúdo. Sem avisar. Sem pedir confirmação.

Pior ainda: o repositório era privado, o que dificultava qualquer tentativa de denúncia direta.

Wildcard DNS sem controle

Quando você usa um registro wildcard, está permitindo que qualquer subdomínio aponte para o mesmo destino. Isso simplifica a configuração,但 também tira granularidade.

Juntando-se a isso a política do GitHub de aceitar qualquer arquivo CNAME sem verificar quem é o dono, cria-se uma combinação perigosa. Qualquer pessoa com conta na plataforma pode tentar ocupar um subdomínio seu.

No caso relatado, o subdomínio foi usado para hospedar sites de cassino fraudulentos. Isso afetou negativamente a reputação do domínio nas buscas.

Monitoramento que salva

O desenvolvedor só descobriu o problema graças ao Google Search Console. Sem essa ferramenta, os sites fraudulentos poderiam ter permanecido indexados por meses.

Aqui fica a leção: monitorar não é apenas acompanhar performance. É também detectar problemas de segurança.

Solução parcial do GitHub

O GitHub possui um recurso de verificação de domínio, 但 está escondido nas configurações da conta, não nas do repositório. Poucos usuários encontram e menos ainda usam.

A plataforma poderia melhorar:

1. Exibir alertas claros quando um domínio não é verificado
2. Exigir verificação antes de servir conteúdo via CNAME
3. Implementar desafios de propriedade como registros TXT

O desenvolvedor denunciou os repositórios, 但 não recebeu resposta satisfatória.

Como se proteger

Se você usa GitHub Pages com domínio personalizado, considere estas práticas:

✓ Evite registros wildcard sempre que possível. Prefira A records ou CNAMEs específicos para cada subdomínio.

✓ Verifique seu domínio nas configurações da conta do GitHub.

✓ Use registros TXT para confirmar propriedade. Isso erschwert o acesso de atacantes.

✓ Ative o Google Search Console ou ferramentas similares. Configure alertas para páginas novas indexadas.

✓ Revise regularmente os repositórios com arquivos CNAME. Confirmar que eles são legítimos.

✓ Pense duas vezes antes de usar GitHub Pages em projetos críticos. Self-hosting ou hospedagem dedicada traz mais opções de segurança.

O que realmente importa

Esta história mostra que entender a configuração de DNS não é apenas uma questão de técnica. Um wildcard DNS dá ao GitHub acesso amplتر a toda estrutura de subdomínios. Conveniente, até que não seja.

平台也需要 aprimorar seus padrões de segurança. GitHub Pages é fácil de usar, mas falta transparência e alertas adequados.

最终, o incident é preventable. Com DNS correto e verificação de domínio, você mantem o site seguro e ainda aproveita o gemütlich da plataforma.

Lembre-se de configurar o monitoramento.