A ideia é curiosa: usar a zona reversa de um prefixo IPv6 como endereço público para um site. Funciona, ensina bastante sobre DNS e custa zero, mas não substitui um domínio comum. Neste guia eu mostro o caminho completo, as limitações e os cuidados que evitam os atalhos problemáticos do tutorial que inspirou esta adaptação.
Baseado no artigo de Ethan Hawksley: How to get a free .arpa domain
O que estamos fazendo de verdade #
O endereço final parece um domínio dentro de .arpa, mas eu não o registro em um cartório de domínios. A Hurricane Electric me atribui um prefixo IPv6 e delega a zona reversa correspondente. Enquanto essa atribuição existir, eu posso administrar registros DNS abaixo dela e criar um host como site..ip6.arpa.
A IANA reserva .arpa para a infraestrutura da Internet. A subárvore ip6.arpa existe para transformar endereços IPv6 em nomes, por meio do DNS reverso. A RFC 3596 também admite outros usos nessa árvore; é essa margem técnica que torna o experimento possível.
Resumo honesto. É um laboratório de DNS, não um endereço curto, permanente ou indicado para produção. O nome depende do túnel, da delegação reversa, do deSEC e do serviço de hospedagem.
O que você precisa #
· Um IPv4 público sob seu controle, com resposta a ICMP liberada para a validação do Tunnel Broker.
· Uma rede que permita configurar e usar o túnel IPv6 da Hurricane Electric de forma legítima.
· Contas gratuitas no Hurricane Electric Tunnel Broker, no deSEC e no Surge.
· Node.js 18 ou superior, ou Bun, além de um terminal.
· Um site estático simples, ainda que seja apenas um arquivo index.html.
Importante. Use dados verdadeiros no cadastro e um IPv4 que pertença a você ou que você esteja autorizado a operar. Os termos da Hurricane Electric exigem informações corretas e proíbem falsificação. Além da questão contratual, um endpoint alheio pode desaparecer ou mudar sem aviso.
Como ler o nome ip6 arpa #
No IPv6, cada bloco separado por dois-pontos é um hexteto. Para montar o nome reverso, eu completo os hextetos com zeros, separo cada dígito hexadecimal — chamado nibble — e inverto a ordem.
Etapa
Resultado
Prefixo recebido
2001:470:1f09:140::/64
Completar zeros
2001:0470:1f09:0140
Separar os nibbles
2.0.0.1.0.4.7.0.1.f.0.9.0.1.4.0
Inverter e acrescentar
0.4.1.0.9.0.f.1.0.7.4.0.1.0.0.2.ip6.arpa
1 Criar e configurar o túnel IPv6 #
Eu começo em tunnelbroker.net, crio uma conta com dados reais e confirmo o endereço de e-mail. No painel, escolho Create Regular Tunnel.
Página inicial do Hurricane Electric Tunnel Broker. Captura de tela: Ethan Hawksley, hawksley.dev.
No menu lateral, a opção Create Regular Tunnel inicia o cadastro. Captura de tela: Ethan Hawksley, hawksley.dev.
No campo IPv4 Endpoint, informo o endereço público da minha própria conexão ou servidor. Ele precisa responder a ping no momento da validação. Escolho um servidor de túnel próximo e confirmo antes se ele está operacional na página de status da Hurricane Electric. Para um túnel usado de verdade, distância e rota afetam latência e estabilidade.
Exemplo do campo de endpoint IPv4 aceito pelo formulário. Use somente um endereço sob seu controle. Captura de tela: Ethan Hawksley, hawksley.dev.
2 Encontrar o prefixo roteado #
Depois de criar o túnel, abro Tunnel Details e procuro Routed IPv6 Prefixes. O que me interessa para este guia é o Routed /64, não o endereço do servidor nem o Client IPv6 Address.
O prefixo /64 roteado aparece nos detalhes do túnel. Captura de tela: Ethan Hawksley, hawksley.dev.
No exemplo do artigo, o prefixo é 2001:470:1f09:140::/64. Eu uso apenas os primeiros 64 bits: 2001:470:1f09:140. A transformação completa é a mostrada na tabela anterior.
3 Criar a zona no deSEC #
Crio uma conta no deSEC e, durante o cadastro ou no painel, escolho a opção de configurar um domínio próprio. Informo a zona ip6.arpa calculada, sem acrescentar o subdomínio do site nesta etapa.
Cadastro da zona reversa no deSEC. Captura de tela: Ethan Hawksley, hawksley.dev.
Guardo os servidores DNS apresentados pelo deSEC. Em geral, serão ns1.desec.io e ns2.desec.org, mas confiro os valores mostrados na minha conta antes de continuar.
4 Delegar o DNS reverso #
Volto ao Tunnel Broker, abro a área de rDNS Delegations do túnel e informo os nameservers do deSEC. Essa delegação faz com que consultas à minha subárvore ip6.arpa cheguem à zona que acabei de criar.
Delegação do rDNS para os servidores do deSEC. Captura de tela: Ethan Hawksley, hawksley.dev.
A delegação pode levar algum tempo para aparecer. Antes de publicar o site, verifico se os servidores autoritativos já respondem:
Resolve-DnsName -Type NS 0.4.1.0.9.0.f.1.0.7.4.0.1.0.0.2.ip6.arpa
Troque a zona do exemplo pela sua. Se o resultado ainda não mostrar o deSEC, aguarde o TTL e tente novamente.
5 Publicar o site no Surge #
Em uma pasta nova, crio um index.html. Para testar, basta um conteúdo pequeno:
<!doctype html>
Funcionou
Este site está publicado em uma zona reversa IPv6.
Dentro da pasta, publico escolhendo um host abaixo da zona. Eu uso site no exemplo porque um CNAME não pode ocupar o ápice da zona, onde já existem registros NS e SOA.
npx surge . site.0.4.1.0.9.0.f.1.0.7.4.0.1.0.0.2.ip6.arpa
Também posso usar bunx surge com a mesma sintaxe. Se for a primeira execução, o Surge pede a criação de uma conta gratuita. No final, anoto o destino informado pelo serviço.
Resposta do Surge depois da publicação. Captura de tela: Ethan Hawksley, hawksley.dev.
6 Criar o CNAME no deSEC #
Na zona do deSEC, crio um registro CNAME. Em Subname, uso apenas site — ou o nome escolhido no comando do Surge. Como destino, uso o host indicado pelo Surge. A documentação atual recomenda geo.surge.sh para domínios personalizados; se o terminal fornecer outro alvo, sigo o valor exibido por ele.
Criação do CNAME no painel do deSEC. Captura de tela: Ethan Hawksley, hawksley.dev.
7 Conferir o DNS e abrir o site #
Eu testo em camadas. Primeiro confirmo a delegação NS. Depois verifico o CNAME do host. Por fim, testo a resposta HTTP.
Resolve-DnsName -Type NS .ip6.arpa
Resolve-DnsName -Type CNAME site..ip6.arpa
curl.exe -I http://site..ip6.arpa
Se o nome não resolver, pode haver um NXDOMAIN no cache local. Eu aguardo o TTL, limpo o cache DNS do Windows com ipconfig /flushdns e tento novamente. Também verifico se a delegação usa exatamente os nameservers do deSEC, se o CNAME foi criado no subdomínio correto e se o domínio aparece no painel do Surge.
A limitação decisiva do HTTPS #
Este endereço deve ser tratado como HTTP. Desde 15 de março de 2026, os requisitos do CA Browser Forum proíbem autoridades certificadoras públicas de emitir certificados para nomes terminados em zonas reversas de IP, incluindo ip6.arpa. Portanto, não conte com um certificado TLS reconhecido normalmente pelos navegadores.
Consequência prática. Não publique senhas, formulários, dados pessoais nem qualquer conteúdo sensível. Uma autoridade certificadora privada pode servir em um laboratório controlado, mas seus dispositivos precisam confiar nela manualmente.
Problemas comuns #
Sintoma
O que conferir
O Tunnel Broker rejeita o endpoint
Confirme que o IPv4 é público, está sob seu controle e responde a ICMP. CGNAT costuma impedir esse cenário.
A zona não aparece no deSEC
Revise a sequência dos nibbles. Todos os dígitos precisam estar separados por pontos e em ordem inversa.
O NS ainda aponta para outro lugar
Aguarde a delegação e confira se os dois nameservers foram salvos no Tunnel Broker.
O CNAME não resolve
Crie o registro em um subdomínio como site. Não tente usar CNAME no ápice da zona.
O navegador insiste em HTTPS
Digite http:// explicitamente. Alguns navegadores ou políticas locais podem forçar HTTPS e impedir o acesso.
O site some depois
Confira se o túnel e o prefixo continuam ativos e se as contas de deSEC e Surge permanecem válidas.
Vale a pena #
Eu usaria esse endereço para aprender e demonstrar como IPv6, DNS reverso e delegação se encaixam. Para um projeto que precisa permanecer no ar, eu escolheria um domínio registrável e HTTPS público. Aqui, o valor está no caminho: sair de um prefixo IPv6, administrar sua zona reversa e terminar com um site acessível pelo navegador.
A URL é longa, a cadeia depende de vários serviços e a atribuição pode terminar junto com o túnel. Essas limitações não anulam o experimento; apenas definem o lugar certo para ele.
Fontes e leitura complementar #
· RFC 3596 e o formato ip6 arpa
· Hurricane Electric Tunnel Broker
· Documentação de registros do deSEC
· Domínios personalizados no Surge
· Requisitos do CA Browser Forum
Créditos. A ideia, o fluxo original e as capturas de tela são de Ethan Hawksley. A adaptação textual foi ampliada e atualizada em português com atribuição ao artigo original. O repositório do autor licencia textos e documentação em CC BY 4.0; as capturas são reproduzidas aqui com atribuição ao autor e à página de origem.