Credenciais em Todo Lugar, Identidade em Lugar Nenhum: DNSid É a Primeira Resposta Séria

Em 29 de junho de 2026, a IETF recebeu um draft propondo uma camada que nenhum stack de identidade de agentes possui hoje: um registro durável, ancorado em DNS, de quem é o dono de um agente, desenhado para durar mais que toda credencial que esse agente vai carregar. O draft se chama DNSid, e por trás dele está Vint Cerf, que deixou o Google depois de 20 anos para assessorar o grupo que o publica.

Seus agentes em produção já têm identidades de sobra. Uma role IAM na AWS. Uma identidade de workload no cluster. Um token OAuth da plataforma SaaS que ele chama. Um SPIFFE ID, se o time de plataforma estiver à frente da curva. Todas essas identidades compartilham a mesma propriedade: cada uma é escopada ao ambiente que a emitiu e morre na fronteira desse ambiente. Migre o agente para outra nuvem, troque o modelo por baixo, rotacione a credencial depois de um incidente, e a cadeia de identidade se rompe. A accountability presa a ela se rompe junto.

Duas Perguntas, e o Stack Atual Responde Só Uma

Identidade em tempo de execução responde à pergunta “este agente pode agir aqui, agora?” Essa pergunta está bem servida. OAuth, OIDC, SPIFFE, federação de identidade de workload: protocolos maduros, ferramental maduro, adoção real. Já cobrimos esse território, da camada de troca de credenciais que a Vercel lançou à arquitetura de isolamento para insiders não humanos.

Times de risco e auditoria bloqueiam produção com outra pergunta: “quem responde por este agente, e ainda conseguiremos provar isso daqui a dezoito meses?” Essa pergunta segue sem protocolo. Hoje ela é respondida com planilhas, conhecimento tribal e uma convenção de nomes de service account que alguém inventou em 2023. Quando Amazon e Perplexity acabaram no tribunal por causa da identidade de um agente, a disputa foi possível em parte porque não existia registro neutro de quem operava o quê. E à medida que o tráfego de agentes ultrapassa o tráfego humano, o volume de atores sem atribuição cresce a cada trimestre.

O DNSid é a primeira tentativa crível de dar um protocolo à pergunta da accountability. Um formato de registro que qualquer um pode publicar e qualquer um pode verificar, sem SDK e sem página de preços.

O Que o Draft Especifica de Fato

O draft da IETF (draft-ihsanullah-dnsid-01, de autoria de Naveed Ihsanullah, da Identity Digital) é curto e concreto. O agente recebe um nome de domínio totalmente qualificado. Em _dnsid.<fqdn-do-agente>, o dono publica um registro TXT que começa com v=DNSid1. O registro carrega uma assinatura de entidade que verificadores checam contra um documento JWKS servido via HTTPS, de modo que a alegação de propriedade fica criptograficamente vinculada ao titular do domínio. Uma chave operacional separada cuida da assinatura do dia a dia, o que permite manter a chave de entidade fria. Todo evento de ciclo de vida, da emissão à rotação, da revogação à aposentadoria, entra em um log append-only. DNSSEC é opcional, mas recomendado.

O desenho se resolve em três âncoras. O DNS entrega o dono: um nome que existe independente de qualquer conta de nuvem. A PKI entrega a prova no momento: a assinatura verifica agora, contra chaves que o dono controla. O log append-only entrega o recibo que sobrevive a uma auditoria: quando a credencial rotacionou, quando o agente foi aposentado, quem autorizou. Propriedade, prova e histórico, cada um em uma camada construída para aquele trabalho.

Nada disso substitui o stack de runtime. O draft é explícito: o DNSid fica abaixo de OAuth, OIDC e SPIFFE. Esses protocolos continuam decidindo se um agente pode agir em determinado contexto. O DNSid registra quem responde pelo agente quando a ação termina.

A Camada da Certidão de Nascimento

O material de lançamento usa uma analogia que vale guardar: uma certidão de nascimento não consegue um emprego nem passa pela segurança do aeroporto. Um passaporte consegue, um crachá consegue, uma carteira de motorista consegue. Mas cada uma dessas credenciais remonta à certidão de nascimento. Ela é a raiz durável que sobrevive a todo documento derivado dela.

A infraestrutura de agentes tem passaportes e crachás em abundância. Falta a certidão de nascimento. Cada plataforma emite as próprias credenciais, enraizadas no próprio domínio de confiança, com significado apenas dentro das próprias paredes. O resultado é a situação em que a maioria das empresas está agora: credenciais em todo lugar, identidade em lugar nenhum. Um agente pode carregar cinco credenciais válidas ao mesmo tempo e ainda ficar sem resposta para “quem é seu dono?” que resista a uma revisão de compliance.

A escolha do DNS como raiz é a decisão de engenharia interessante. O DNS é o único namespace que já é global, já é neutro na operação e já sobreviveu a quatro décadas de rotatividade de plataformas. Empresas morrem, nuvens são abandonadas em migrações, fornecedores de modelo são trocados. Nomes de domínio persistem através de tudo isso. Ancorar a propriedade ali faz o tempo de vida do registro corresponder ao requisito de accountability, que se mede em anos, enquanto credenciais se medem em minutos.

Quem Está Por Trás, e Por Que Isso Corta dos Dois Lados

A Innovation Labs, divisão da operadora de registro de domínios Identity Digital, lançou o DNSid em 27 de abril de 2026. A ida de Vint Cerf do Google para assessorar o laboratório é o sinal mais forte ligado ao projeto. A razão declarada, segundo o TechCrunch: “senti que poderia ajudá-los em um período em que nomeação e identificação estão se tornando cada vez mais importantes”. Allie Kline atua como CEO interina, e o TechCrunch reporta hyperscalers e empresas de identidade testando o padrão, nenhum nomeado. Fadi Chehadé, ex-CEO da ICANN, argumentou em um artigo de opinião na Newsweek em julho que padrões abertos de accountability são o que impede a economia de agentes de se fragmentar, do mesmo modo que o próprio DNS impediu a internet inicial de se partir em jardins murados.

Agora a parte honesta. Trata-se de uma submissão individual à IETF, e ela expira em 31 de dezembro de 2026 se ninguém a renovar. Nenhum adotante colocou o nome nela. A proporção de 50 agentes para cada humano que o site do DNSid cita é uma alegação do fornecedor, sem medição independente. E a Identity Digital vende domínios: um padrão que ancora a identidade de cada agente em um nome de domínio faz crescer diretamente o negócio de registro. O design pode estar tecnicamente certo mesmo assim. DNS ser comercialmente conveniente para um registro e correto para nomeação durável são coisas que podem ser verdadeiras ao mesmo tempo. Avalie o draft pelos méritos, e precifique que o defensor mais barulhento lucra com a adoção.

Também falta revisão crítica independente. A cobertura até aqui reafirma o anúncio. Trate a arquitetura como promissora e ainda sem prova.

O Que Fazer Com Isso Agora

Ninguém precisa adotar um draft neste trimestre. O necessário é começar a fazer a pergunta que o draft existe para responder.

Primeiro, adicione uma pergunta a toda conversa com fornecedor de plataforma de agentes: “o que sobrevive quando a credencial rotaciona?” Se a resposta for um ID escopado à plataforma que morre na migração, você acabou de mapear o buraco na cadeia de accountability, com forma e tamanho. Fornecedores que pensaram em identidade durável respondem em segundos. Fornecedores que nunca pensaram nisso vão descrever o fluxo OAuth deles.

Segundo, rode um inventário de uma hora. Para cada agente em produção, escreva o identificador que continuaria significativo depois de uma migração de nuvem, uma troca de modelo e uma rotação de credencial, as três coisas. Para a maioria dos times, a resposta honesta é uma linha de planilha, mantida por alguém que pode sair da empresa. Essa é a sua camada atual de identidade durável. Decida, por escrito, se isso é aceitável.

Terceiro, rode o experimento barato. Publicar um registro TXT _dnsid para um agente interno custa uma tarde e um subdomínio. Essa tarde ensina mais sobre o encaixe prático do draft do que qualquer análise, incluindo esta. Se o padrão morrer em dezembro, você perdeu um registro TXT. Se virar a camada de accountability que reguladores passarão a cobrar, você ganhou dezoito meses de vantagem para provar quem é o dono dos seus agentes.

O problema da identidade em runtime está sendo resolvido por times de plataforma bem financiados. O problema da propriedade durável estava sem dono até abril. Observe se os hyperscalers não nomeados colocarão o nome no padrão. Esse é o sinal que transforma a aposta de um registro de domínios em infraestrutura.

Fontes

Innovation Labs / Identity Digital. “DNSid - The Birth Certificate for AI Agents.” Abril de 2026.
IETF (submissão individual). “DNS-Anchored Durable Identity for AI Agents (draft-ihsanullah-dnsid-01).” Junho de 2026.
TechCrunch. “Vint Cerf Is Working on a Plan to Unleash AI Agents on the Open Internet.” Julho de 2026.
GlobeNewswire / Identity Digital. “Identity Digital Launches DNSid.” Abril de 2026.

A Victorino ajuda organizações de engenharia a desenhar camadas de identidade e accountability para agentes que sobrevivem a auditorias, migrações e trocas de fornecedor: contato@victorino.com.br | www.victorino.com.br