---
title: "Como apontar domínio para VPS: registros A, AAAA e CNAME"
description: "Aponte o domínio para a VPS: registros A, AAAA e CNAME, TTL e propagação, testes com dig e nslookup e os limites do proxy da Cloudflare."
url: "https://streethosting.com.br/guias/vps/apontar-dominio-vps-registro-dns"
category: "vps"
slug: "apontar-dominio-vps-registro-dns"
datePublished: "2026-06-17"
dateModified: "2026-09-28"
author: "Equipe StreetHosting"
difficulty: "iniciante"
language: "pt-BR"
keywords:
  - "apontar dominio para vps dns"
  - "registro a dns vps"
  - "configurar dns dominio servidor"
  - "propagacao dns dominio vps"
  - "registro aaaa ipv6 dominio"
  - "cname dominio raiz"
---

# Domínio apontando para a VPS: registros, TTL e testes

Seu site está na VPS, mas as pessoas acessam por um IP. O DNS resolve: um registro A liga o domínio ao servidor. Veja quando usar AAAA e CNAME, como o TTL controla a propagação, como testar com dig e o que o proxy da Cloudflare não faz.

> **Resposta rápida**
>
> Para apontar um **domínio para a VPS**, crie um **registro A** no domínio raiz com o IPv4 público da VPS e outro para o **www**, no painel de quem responde pela zona DNS. Use AAAA só se a VPS tiver IPv6 configurado. CNAME não pode ficar no domínio raiz. Antes de testar, espere o TTL antigo vencer e confira com `dig` em resolvedores públicos; só então emita o certificado HTTPS.

## Como o DNS leva o visitante à VPS

O DNS traduz um nome fácil de lembrar no endereço IP da máquina que tem o conteúdo. Sem ele, as pessoas precisariam decorar o IP da sua VPS. Há duas camadas que muita gente confunde:

- **Servidores DNS (registros NS):** definidos no registro do domínio, dizem qual provedor responde pela zona. Pode ser o próprio Registro.br, a Cloudflare ou outro serviço de DNS.
- **Registros da zona:** A, AAAA, CNAME, MX e os demais. Eles só valem no provedor que os registros NS apontam.

O erro mais comum é editar a zona em um lugar enquanto o domínio está delegado para outro. Descubra quem responde pela zona antes de mexer em qualquer registro:

```
dig NS seudominio.com.br +short
```

Se a resposta mostrar servidores do Registro.br, edite a zona no painel do domínio lá. Se mostrar outro provedor, os registros precisam ser criados nesse provedor. Estes são os tipos de registro que aparecem no dia a dia de quem hospeda em VPS:

| Registro | O que faz | Exemplo |
| --- | --- | --- |
| A | Liga um nome a um endereço IPv4 | @ para 203.0.113.10 |
| AAAA | Liga um nome a um endereço IPv6 | @ para 2001:db8::10, só se a VPS tiver IPv6 |
| CNAME | Faz um nome ser apelido de outro nome | www para seudominio.com.br |
| MX | Indica os servidores de email do domínio | @ para o servidor do seu provedor de email |
| TXT | Guarda texto para SPF, DKIM e verificações | @ com v=spf1 e as regras do seu email |
| SRV | Indica host e porta de um serviço, usado por alguns jogos | _minecraft._tcp com a porta do servidor |
| NS | Diz quais servidores respondem pela zona | Servidores do provedor de DNS |
| PTR | Faz o caminho inverso, do IP para o nome | Controlado pelo dono do bloco de IP |

O registro SRV é o que permite entrar em um servidor de jogo sem digitar a porta. O passo a passo para Minecraft está em [domínio personalizado para servidor Minecraft](https://streethosting.com.br/guias/minecraft/dominio-personalizado-servidor-minecraft-dns).

## Registro A: o apontamento principal

1. Pegue o IPv4 público da VPS no painel. Dentro da VPS, o comando `ip -4 addr show scope global` mostra o mesmo endereço.
2. Abra a zona DNS no provedor que responde pelo domínio.
3. Crie um registro A com nome `@` (o domínio raiz; alguns painéis pedem o campo vazio) e o IP da VPS como valor.
4. Crie o registro do `www`, como outro A com o mesmo IP ou como CNAME para o domínio raiz.
5. Defina o TTL. Se o domínio é novo, 3600 segundos está ótimo; se é uma migração, veja a seção de propagação antes.
6. Salve e apague registros A antigos com o mesmo nome.

> **Atenção**
>
> Dois registros A no mesmo nome, um com o IP antigo e outro com o novo, não fazem failover: os resolvedores devolvem os dois e cada visitante cai em um deles. Parte das visitas vai para o servidor errado. Ao migrar, substitua o valor em vez de criar um registro novo.

## AAAA: só com IPv6 configurado

O AAAA é o equivalente do A para IPv6. Ele só deve existir se a VPS realmente tiver um endereço IPv6 global configurado e respondendo. Confira antes de criar:

```
ip -6 addr show scope global
# sem saída: a VPS não tem IPv6 global, não crie AAAA

# com endereço listado, teste de outra máquina com IPv6:
curl -6 -I http://[2001:db8::10]
```

Quando existe AAAA, navegadores em redes com IPv6 tentam esse endereço primeiro. Se ele não responde, ou se o Nginx e o firewall não estão escutando em IPv6, parte dos visitantes vê lentidão ou erro, e a validação do certificado pode falhar. Na dúvida, fique só com o A: o site funciona para todo mundo por IPv4. O guia sobre [IPv6 na hospedagem](https://streethosting.com.br/guias/infraestrutura/como-funciona-ipv6-hospedagem-servidor) mostra como preparar a VPS quando houver um endereço disponível.

## CNAME, www e subdomínios

O CNAME faz um nome ser apelido de outro. Ele é prático para o `www`: se o IP da VPS mudar, você altera só o A do domínio raiz e o www acompanha. A regra que pega muita gente é que **CNAME não pode ficar no domínio raiz**. Um nome com CNAME não pode ter nenhum outro registro, e o raiz obrigatoriamente tem os registros SOA e NS da zona.

Alguns provedores de DNS oferecem uma saída para isso, com nomes como CNAME flattening, ALIAS ou ANAME: você escreve um apelido no raiz e o provedor responde com o A resolvido. Para uma VPS com IP fixo, não precisa de nada disso; um registro A no raiz resolve.

Subdomínios seguem a mesma lógica. Crie `api`, `painel` ou `loja` como registros A para o IP da mesma VPS e deixe o Nginx separar cada um pelo nome, como explicamos em [vários sites na mesma VPS com Nginx](https://streethosting.com.br/guias/vps/nginx-varios-sites-mesma-vps). Um registro curinga `*` aponta qualquer subdomínio para a VPS, mas também faz nomes digitados errado chegarem ao servidor, então use só se precisar.

## TTL e propagação

Não existe uma onda de atualização percorrendo a internet. O que se chama de propagação é o tempo até os resolvedores descartarem a resposta que guardaram em cache. Quem define esse tempo é o TTL, em segundos, de cada registro. Com TTL de 3600, um resolvedor que consultou o domínio há cinco minutos só vai perguntar de novo daqui a 55 minutos.

- **Registro novo:** costuma responder em minutos. Se você consultou o nome antes de criar o registro, o resolvedor pode ter guardado a resposta de que ele não existia, e essa resposta negativa também fica em cache por um tempo definido pela zona.
- **Registro alterado:** leva até o TTL antigo para todos enxergarem o valor novo.
- **Troca de servidores DNS:** é a mais lenta, porque depende também do cache da delegação, que costuma ser de horas e pode chegar a um ou dois dias.

> **Dica**
>
> Em uma migração, reduza o TTL do registro para 300 pelo menos um TTL antigo antes da troca. Se ele era 86400, faça isso um dia antes. Depois que o novo IP estiver estável, volte para 3600 ou mais. O roteiro completo está em [como migrar servidor sem downtime](https://streethosting.com.br/guias/infraestrutura/como-migrar-servidor-sem-downtime).

## Testar com dig e nslookup

Testar pelo navegador engana, porque ele e o sistema operacional têm cache próprio. Pergunte direto aos resolvedores. No Ubuntu, o `dig` vem no pacote `dnsutils`:

```
sudo apt install -y dnsutils

dig +short seudominio.com.br A
dig +short www.seudominio.com.br
dig +short seudominio.com.br AAAA

# resolvedores públicos diferentes
dig @1.1.1.1 +short seudominio.com.br
dig @8.8.8.8 +short seudominio.com.br

# resposta completa, com o TTL restante
dig seudominio.com.br A

# caminho desde a raiz, sem cache nenhum
dig +trace seudominio.com.br
```

No Windows, use o nslookup no PowerShell ou no prompt, e limpe o cache local quando a resposta pública já estiver certa:

```
nslookup seudominio.com.br 1.1.1.1
nslookup -type=AAAA seudominio.com.br 8.8.8.8
ipconfig /flushdns
```

Se o `dig +trace` mostra o IP certo e o seu resolvedor não, é só esperar o TTL. Se nem o trace mostra, o registro foi criado no provedor errado ou não foi salvo. Se o domínio resolve para o IP certo e o site não abre, o problema já não é DNS: confira se o Nginx está escutando e se o firewall libera as portas 80 e 443.

## Proxy da Cloudflare e seus limites

Na Cloudflare, cada registro A, AAAA ou CNAME tem dois modos. Com a nuvem laranja (proxied), o domínio resolve para IPs da Cloudflare, que recebe a conexão e repassa para a VPS. Com a nuvem cinza (DNS only), o domínio resolve direto para o IP da VPS. O modo proxied tem limites que precisam ser conhecidos antes de ligar:

- **Só HTTP e HTTPS, em portas fixas:** 80, 8080, 8880, 2052, 2082, 2086 e 2095 para HTTP; 443, 2053, 2083, 2087, 2096 e 8443 para HTTPS. Qualquer outra porta não passa pelo nome com proxy.
- **Sem jogos, SSH ou UDP:** servidor de Minecraft, FiveM, SSH e qualquer tráfego UDP precisam de um registro em DNS only, que expõe o IP real da VPS. Encaminhar qualquer porta TCP e UDP pela Cloudflare é função do Spectrum, disponível para todas as portas só no plano Enterprise.
- **Modo SSL:** use Full (strict) com um certificado válido na VPS. O modo Flexible fala HTTP com a origem e, somado a um redirecionamento para HTTPS no Nginx, gera loop infinito.
- **IP do visitante:** a VPS passa a ver os IPs da Cloudflare. O IP real vem no cabeçalho `CF-Connecting-IP`, que o Nginx precisa ler com o módulo realip para os logs e o rate limit fazerem sentido.

O proxy só esconde o IP da VPS se nenhum outro registro em DNS only apontar para ele. Um subdomínio de SSH ou de jogo no mesmo domínio entrega o endereço. A lista de portas está na [documentação de portas da Cloudflare](https://developers.cloudflare.com/fundamentals/reference/network-ports/). Para publicar um painel sem abrir porta nenhuma na VPS, veja o [Cloudflare Tunnel na VPS](https://streethosting.com.br/guias/vps/cloudflare-tunnel-vps).

## Depois do DNS

- [ ] Registros NS conferidos: a zona está sendo editada no provedor certo
- [ ] Registro A no domínio raiz e no www com o IP correto
- [ ] AAAA criado só se a VPS responde em IPv6
- [ ] Resposta conferida com dig em 1.1.1.1 e 8.8.8.8
- [ ] MX e TXT do email recriados, se os servidores DNS foram trocados
- [ ] Certificado HTTPS emitido depois do domínio resolver

Ao trocar os servidores DNS de um domínio que já tem email, recrie antes os registros MX e TXT no provedor novo. Esquecer essa etapa é o jeito mais comum de ficar sem receber email no dia da migração. Se a VPS for enviar email, o [reverse DNS (PTR)](https://streethosting.com.br/guias/infraestrutura/o-que-e-reverse-dns-ptr) também importa. Ele não fica na sua zona: é controlado pelo dono do bloco de IP, e o pedido é feito ao suporte do provedor.

Com o domínio resolvendo, ative o HTTPS seguindo [certificado SSL com Let's Encrypt e Nginx](https://streethosting.com.br/guias/vps/certificado-ssl-vps-lets-encrypt-nginx). Se ainda está escolhendo onde hospedar, a [VPS da StreetHosting](https://streethosting.com.br/vps) fica em São Paulo, é ativada em até 60 segundos e mostra o IPv4 público no painel, pronto para o registro A.

## Perguntas frequentes

### O que é um registro A?

É o registro de DNS que liga um nome a um endereço IPv4. Quando alguém digita o seu domínio, o resolvedor consulta o registro A e o navegador se conecta ao IP da sua VPS. Para um site, você normalmente cria um A no domínio raiz e outro, ou um CNAME, no www.

### Preciso do registro AAAA também?

Só se a VPS tiver um endereço IPv6 configurado e respondendo, o que você confere com ip -6 addr show scope global. Um AAAA apontando para um endereço que não responde faz visitantes com IPv6 falharem e pode atrapalhar a emissão do certificado. Sem IPv6 na VPS, deixe apenas o registro A.

### Por que o domínio ainda não abre depois de configurar?

Porque os resolvedores guardam a resposta antiga até o TTL dela vencer. Consulte o domínio direto em 1.1.1.1 e 8.8.8.8 com dig: se eles já mostram o IP novo, o problema é o cache do seu computador ou do seu provedor. Troca de servidores DNS costuma demorar mais do que troca de registro.

### Posso emitir o certificado HTTPS antes da propagação?

Com a validação por HTTP, que é o padrão do Certbot com Nginx, não. A autoridade certificadora acessa o domínio para conferir que ele aponta para a sua VPS. Confirme com dig nos resolvedores públicos que o domínio já responde com o IP certo e só então rode o Certbot.

### O proxy da Cloudflare funciona com servidor de jogo ou SSH?

Não. O proxy só repassa HTTP e HTTPS em uma lista fixa de portas. SSH, servidores de jogo e qualquer tráfego UDP precisam de um registro em modo DNS only, que mostra o IP real da VPS. Encaminhar qualquer porta TCP e UDP pela Cloudflare exige o Spectrum no plano Enterprise.

## Guias relacionados

- [Certificado SSL na VPS com Let's Encrypt e Nginx](https://streethosting.com.br/guias/vps/certificado-ssl-vps-lets-encrypt-nginx.md)
- [Como configurar o Nginx como reverse proxy na VPS](https://streethosting.com.br/guias/vps/configurar-nginx-reverse-proxy-vps.md)
- [Como hospedar vários sites na mesma VPS com Nginx](https://streethosting.com.br/guias/vps/nginx-varios-sites-mesma-vps.md)
- [Domínio personalizado no servidor Minecraft: DNS e SRV](https://streethosting.com.br/guias/minecraft/dominio-personalizado-servidor-minecraft-dns.md)
- [O que é reverse DNS (PTR) e para que serve no servidor](https://streethosting.com.br/guias/infraestrutura/o-que-e-reverse-dns-ptr.md)

## Produtos citados

- https://streethosting.com.br/vps
- https://streethosting.com.br/vps/xeon
- https://streethosting.com.br/vps/ryzen

## Dados estruturados

```json
[
  {
    "@context": "https://schema.org",
    "@type": [
      "Article",
      "TechArticle"
    ],
    "headline": "Domínio apontando para a VPS: registros, TTL e testes",
    "name": "Como apontar domínio para VPS: registros A, AAAA e CNAME",
    "abstract": "Seu site está na VPS, mas as pessoas acessam por um IP. O DNS resolve: um registro A liga o domínio ao servidor. Veja quando usar AAAA e CNAME, como o TTL controla a propagação, como testar com dig e o que o proxy da Cloudflare não faz.",
    "description": "Aponte o domínio para a VPS: registros A, AAAA e CNAME, TTL e propagação, testes com dig e nslookup e os limites do proxy da Cloudflare.",
    "datePublished": "2026-06-17",
    "dateModified": "2026-09-28",
    "author": {
      "@type": "Organization",
      "name": "Equipe StreetHosting"
    },
    "publisher": {
      "@type": "Organization",
      "name": "StreetHosting",
      "url": "https://streethosting.com.br"
    },
    "inLanguage": "pt-BR",
    "mainEntityOfPage": {
      "@type": "WebPage",
      "@id": "https://streethosting.com.br/guias/vps/apontar-dominio-vps-registro-dns"
    }
  },
  {
    "@context": "https://schema.org",
    "@type": "FAQPage",
    "mainEntity": [
      {
        "@type": "Question",
        "name": "O que é um registro A?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "É o registro de DNS que liga um nome a um endereço IPv4. Quando alguém digita o seu domínio, o resolvedor consulta o registro A e o navegador se conecta ao IP da sua VPS. Para um site, você normalmente cria um A no domínio raiz e outro, ou um CNAME, no www."
        }
      },
      {
        "@type": "Question",
        "name": "Preciso do registro AAAA também?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Só se a VPS tiver um endereço IPv6 configurado e respondendo, o que você confere com ip -6 addr show scope global. Um AAAA apontando para um endereço que não responde faz visitantes com IPv6 falharem e pode atrapalhar a emissão do certificado. Sem IPv6 na VPS, deixe apenas o registro A."
        }
      },
      {
        "@type": "Question",
        "name": "Por que o domínio ainda não abre depois de configurar?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Porque os resolvedores guardam a resposta antiga até o TTL dela vencer. Consulte o domínio direto em 1.1.1.1 e 8.8.8.8 com dig: se eles já mostram o IP novo, o problema é o cache do seu computador ou do seu provedor. Troca de servidores DNS costuma demorar mais do que troca de registro."
        }
      },
      {
        "@type": "Question",
        "name": "Posso emitir o certificado HTTPS antes da propagação?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Com a validação por HTTP, que é o padrão do Certbot com Nginx, não. A autoridade certificadora acessa o domínio para conferir que ele aponta para a sua VPS. Confirme com dig nos resolvedores públicos que o domínio já responde com o IP certo e só então rode o Certbot."
        }
      },
      {
        "@type": "Question",
        "name": "O proxy da Cloudflare funciona com servidor de jogo ou SSH?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Não. O proxy só repassa HTTP e HTTPS em uma lista fixa de portas. SSH, servidores de jogo e qualquer tráfego UDP precisam de um registro em modo DNS only, que mostra o IP real da VPS. Encaminhar qualquer porta TCP e UDP pela Cloudflare exige o Spectrum no plano Enterprise."
        }
      }
    ]
  }
]
```