Resumo

  • A minimização reduz o que uma autoridade não terminal vê, mas não esconde a consulta completa do resolvedor recursivo.
  • Um cache frio pode exigir várias consultas que acrescentam rótulos; um cache aquecido pode encurtar o percurso.
  • A operação deve conservar a sequência upstream, o contexto do cache e o motivo da parada.

O problema surge quando um selo verde substitui a prova. Uma consulta em cache frio pode sondar vários rótulos antes de encontrar uma delegação defeituosa; a repetição, já aquecida, pode usar apenas uma consulta. A configuração não mudou, mas a exposição e o custo mudaram.

A RFC 9156 evita enviar sempre o QNAME e o QTYPE originais completos. O resolvedor pergunta a cada servidor somente o necessário para descobrir a próxima delegação e pode escolher um QTYPE diferente do solicitado. O servidor final recebe o nome necessário para responder; os anteriores recebem menos.

Isso é um algoritmo de sequência, não uma simples troca de texto. Cortes de zona conhecidos vêm do cache; fronteiras desconhecidas são descobertas progressivamente. Nomes profundos podem aumentar consultas a frio. Por isso a RFC 9156 exige limitar consultas por requisição e menciona dez como valor recomendado para MAX_MINIMISE_COUNT, sem criar um limiar universal.

A RFC 8020 descreve o NXDOMAIN cut: uma inexistência armazenada pode tornar toda a subárvore inacessível sem nova consulta. Esse alcance também amplia as consequências de um NXDOMAIN falso; a validação DNSSEC é a proteção indicada contra o risco de envenenamento do cache. A RFC 8198 permite sintetizar respostas negativas a partir de provas NSEC ou NSEC3 validadas. Um log da autoridade, portanto, não explica sozinho a resposta do cliente; é preciso distinguir resposta direta, corte e prova DNSSEC, incluindo o TTL.

A RFC 9076 lembra que há vários observadores. O recursivo continua vendo a consulta completa e um observador de rede pode ver tráfego sem criptografia. Minimizar reduz uma divulgação; não substitui criptografia nem confiança no serviço.

Qualquer recuo de compatibilidade deve registrar autoridade, erro, etapa relaxada, vencimento e novo teste. Sem prazo, a exceção vira política invisível.