A API do Registro.br que não existe: endpoints, status e limites

Atualizado em 02/10/2026

Não existe API HTTP documentada para o processo de liberação. O que existe são cinco coisas: o endpoint que a caixa de busca do site usa, o serviço ISAVAIL por trás dele, o RDAP, três arquivos de texto e o painel autenticado. Esta página é o que aprendemos sondando cada um, com a data de cada medição, e no fim os arquivos que o Liberados publica. Se você vai escrever código em cima disso, leia inteira antes: três das armadilhas abaixo produzem resultado errado com HTTP 200.

O endpoint de disponibilidade

É o mesmo que a caixa de busca de registro.br chama. Devolve JSON, não é documentado nem versionado, e pode mudar sem aviso. Os testes deste projeto guardam respostas reais justamente para que uma mudança de formato quebre um teste em vez de passar despercebida.

GET https://registro.br/v2/ajax/avail/raw/<dominio>

Respostas reais, uma por situação (nomes e tickets ilustrativos):

Livre para registro imediato:

{"status": 0, "fqdn": "exemplolivre.com.br", "exempt": false}

Registrado e no ar:

{"status": 2, "fqdn": "google.com.br", "publication-status": "published",
 "expires-at": "2027-05-18T00:00:00-03:00",
 "hosts": ["ns1.google.com", "ns2.google.com"]}

Em liberação, sem candidato visível (o alvo do garimpo):

{"status": 6, "fqdn": "anabolizantes.com.br",
 "begins-at": "2026-09-09T15:00:00-03:00",
 "ends-at": "2026-09-16T15:00:00-03:00"}

Em liberação, já com candidatos:

{"status": 7, "fqdn": "medidas.com.br",
 "tickets": [30001101, 30001102],
 "begins-at": "2026-09-09T15:00:00-03:00",
 "ends-at": "2026-09-16T15:00:00-03:00"}

Em processo competitivo (leilão):

{"status": 9, "fqdn": "combustiveis.com.br",
 "tickets": [30002201, 30002202],
 "ends-at": "2026-09-16T15:00:00-03:00",
 "accepting-new-tickets-until": "2026-09-16T15:00:00-03:00"}

No leilão, ends-at e accepting-new-tickets-until são o fim da rodada, não o das ofertas, que o Registro.br não publica (conferido em 16/09/2026, com a rodada já fechada e o leilão aberto).

Nome travado, esperando a rodada seguinte (resposta real de 17/09/2026):

{"status": 5, "fqdn": "one.com.br", "fqdnace": "", "exempt": false}

Bloqueado por excesso de consultas. Repare: HTTP 200.

{"status": 8, "fqdn": "", "fqdnace": "", "exempt": false,
 "reasons": ["Taxa máxima de consultas excedida"]}

O CORS deste endpoint é fechado (access-control-allow-origin: https://registro.br). Um site em outra origem não consegue chamá-lo do navegador, e no-cors, iframe, popup e JSONP também não passam. Medido em 10/09/2026.

O campo status é uma enumeração, não um bitmask

Até 11/09/2026 esta página dizia "bitmask, confirmado por sondagem": 0x1 tickets, 0x2 existe, 0x4 liberação, 0x8 competitivo. Os valores observados (0, 2, 3, 6, 7, 8, 9) batiam com essa leitura, e foi coincidência. Em 12/09/2026 encontramos a tabela oficial em Protocolo-ISAVAIL.txt, no FTP do Registro.br (ver ISAVAIL):

Por que a diferença importa: lido como bits, o 5 é 4|1, "em liberação com tickets", e como não vem array tickets, cairia em "em liberação, sem candidato". Um nome que nem está na rodada apareceria como joia. É o mesmo tipo de erro que produziu 28 joias falsas em 10/09/2026, esperando para acontecer. Desde 12/09/2026 o código mapeia os dez valores um a um.

Três armadilhas: status 8, status 3 e o RDAP vazio

Status 8: o bloqueio que parece leilão

O bloqueio por excesso de consultas volta com HTTP 200, não 429, e com status: 8 no corpo. Na tabela oficial, 8 é simplesmente "erro"; mas quem lê o status como bitmask vê em 0x8 o bit de processo competitivo, e um mapeamento ingênuo transforma toda resposta bloqueada num falso "domínio em leilão". Foi o que aconteceu aqui em 09/09/2026: 370 nomes rotulados como leilão que eram respostas de bloqueio. O sintoma é "leilão" com zero tickets e sem ends-at; leilão de verdade sempre traz os dois.

Como distinguir, nesta ordem:

1. se vier o campo reasons, é erro ou indisponibilidade: não classifique pelo número;
2. resposta válida sempre traz fqdn preenchido;
3. só então aplique a tabela.

Status 3: hífen e acento não criam nome novo

Sondado em 10/09/2026. O status: 3 não traz tickets: vem com reasons e significa que o nome colide com um equivalente já registrado por outro titular.

café.com.br        → status 3, fqdnace xn--caf-dma.com.br,
                     reasons ["Domínio já registrado sob sintaxe similar"]
cafe.com.br        → status 2, registrado
casa-verde.com.br  → status 3, "Domínio já registrado sob sintaxe similar"
casaverde.com.br   → status 2, registrado

A regra é oficial: para comparar nomes, o Registro.br converte acentos e cedilha para as versões sem acento e descarta os hífens. aventura-esportes e aventuraesportes são o mesmo nome, e só coexistem se forem do mesmo dono. Duas consequências:

• Hífen e acento não são inventário. Em .com, casa-verde.com e casaverde.com são dois ativos. Em .br são um só. A varredura confirma: nos 125.453 nomes da rodada de setembro de 2026 há zero rótulos com hífen.
• O 3 também aparece com outros motivos (açaí.com.br responde "Domínio reservado para a transição EDU.BR"). Trate-o como "bloqueado, leia reasons", não como um motivo único.

RDAP 200 vazio: o nome travado que parece registrado

Desde 16/09/2026, 15 minutos depois do fechamento da rodada, um nome travado responde no RDAP com HTTP 200 e um objeto domain vazio (sem status, eventos nem publicIds), e no endpoint de disponibilidade com status: 5. Quem lê "200 no RDAP = registrado" rotula como registrado um nome que volta na rodada seguinte. O que separa é o cabeçalho Nicbr-Resource: release-process-waiting (ver RDAP).

O array tickets: público, com dois cortes

É a informação mais valiosa do endpoint: diz quantas candidaturas já existem antes de você gastar a sua, sem autenticação. Com dois cortes que mudam a leitura:

1. Candidato único é invisível. O array só aparece com dois ou mais candidatos. Isso é documentado pelo próprio Registro.br, e os dados batem: em 1.657 nomes verificados em 09/09/2026, nenhum tinha exatamente 1; dezenas tinham exatamente 2. Portanto "0" quer dizer "zero ou um", e candidatar-se num nome com candidato oculto trava o nome para os dois. O RDAP esconde do mesmo jeito.
2. A lista para em 10. Medido em 11/09/2026: one.com.br mostrava 10 tickets aqui e 67 no RDAP; vacina.com.br, 10 contra 42. Contagem acima de 10 só pelo RDAP. É a especificação: o ISAVAIL define ticket1|...|ticket10.

ISAVAIL: o serviço oficial por trás do endpoint

Encontrado em 12/09/2026 em ftp.registro.br/pub/isavail/ (versão 0.10, de janeiro de 2025). É um protocolo de texto sobre UDP, porta 43, em avail.registro.br, com especificação (Protocolo-ISAVAIL.txt) e clientes-exemplo em Python, Perl, PHP, Java, C++ e Ruby. O README oficial lista três formas de uso: "o proxy no site do Registro.br" (o endpoint acima), os clientes-exemplo, ou "implementação própria". A "API que não existe" existe; só não é HTTP.

pergunta   2 <cookie> 1 <qid> vacina.com.br 0
resposta   % Copyright Nic.br
           ST 9 727976103
           vacina.com.br
           2026-09-26 15:00:00|2026-09-26 15:00:00|2026-09-26 15:00:00
           90000001|90000002|...|90000010

• Sem cookie válido a resposta é CK <cookie> <qid>: guarda-se o cookie e repete-se a pergunta.
• O último campo (0, "não sugerir outras extensões") é obrigatório da versão 1 em diante. Sem ele, ST 4 consulta inválida para qualquer nome.
• Confere com o endpoint web, nos mesmos nomes no mesmo minuto: status, fqdn com o ACE de nomes acentuados, os tickets (também cortados em 10) e o motivo do 3.
• Não confere: as datas. Para a rodada de 09/09 a 16/09, o ISAVAIL devolveu 2026-09-26 15:00:00 nos três campos de vacina.com.br e nos dois de one.com.br, enquanto o endpoint web devolvia 09/09 e 16/09.
• Limite não publicado. O bloqueio vem como ST 8 com "Query rate limit exceeded". Não medimos, de propósito: medir é bater. Este canal é contingência para o dia em que o endpoint web mudar, risco que o próprio Registro.br apontou (issue #98 do módulo oficial para WHMCS, julho de 2025).

RDAP: o único caminho a partir do navegador

GET https://rdap.registro.br/domain/<nome>

• CORS aberto (*), então uma página em qualquer origem consulta direto. É o que o botão conferir deste site usa. Medido em 10/09/2026, em 45 nomes batendo com o endpoint de disponibilidade.
• O cabeçalho Nicbr-Resource é exposto pelo CORS e separa as fases: release-process-running (liberação) e competitive-release-process-running;date=... (leilão). Depois que a rodada fecha aparecem mais dois: competitive-release-process-closed;date=... (leilão com ofertas até o dia seguinte) e release-process-waiting (nome travado, com HTTP 200 e um objeto vazio, sem tickets). Conferido em 16/09/2026. Repare na terceira armadilha: nome travado responde HTTP 200, e quem lê "200 = registrado" erra aqui. Nome fora desses com objectClassName: domain é registrado. HTTP 404 é nome que não existe no cadastro: livre, se o rótulo for válido. Rótulo com menos de 2 ou mais de 26 caracteres, ou só de números, também dá 404, e não é livre: o endpoint de disponibilidade responde status 3, "Domínio inválido" (a.com.br, conferido em 15/09/2026). Nome acentuado cuja versão sem acento existe responde 303 para ela.
• Os tickets vêm em publicIds, com type: ticket. Todos, sem o corte em 10. Candidato único continua escondido.
• Nome registrado traz os eventos registration, last changed e expiration, e o status: active no ar, inactive vencido e fora do ar (congelado), nicbr inactive court order ou nicbr inactive CG fora do ar por decisão. Nome na rodada vem com pending create, sem eventos, e a data do cabeçalho Nicbr-Resource é o fim da rodada, também no leilão — e não o fim do leilão, que o Registro.br não publica: as ofertas seguem pelo menos 24 h além disso, e podem ir muito mais (em 17/09/2026, com a rodada de setembro fechada, ainda havia leilão aberto da rodada de julho). Conferido em 14/09/2026 em galoegolo.com.br, google.com.br, one.com.br e vacina.com.br. É a leitura da ficha Quando volta, que também abre direto em /quando-volta/?d=nome.com.br.
• Acabado o leilão, o RDAP diz quem levou em cerca de um minuto. Em 17/09/2026, dos 9 leilões conferidos, os 6 que tiveram oferta estavam active, com titular e registration um minuto depois do fim previsto. Os 3 sem oferta voltaram a release-process-waiting: ticket sem oferta não vira domínio. O valor da oferta vencedora não aparece em lugar nenhum do RDAP.
• A resposta traz um link por ticket (domain/<nome>?ticket=<n>, um rel: archives por concorrente, todos, sem o corte em 10). Cada um devolve o que a busca do Registro.br mostra ao clicar num ticket, conferido em 12/09/2026: um objeto domain com handle <nome>#<ticket>, um evento registration com o instante exato em que o ticket foi emitido, e a entidade do candidato com nome, documento mascarado, endereço e, no contato técnico, e-mail. O botão quem disputa lê isso no seu navegador e mostra nome, documento, hora e, para empresas, quantos domínios têm; endereço e e-mail não. O caminho /ticket/<n> da biblioteca oficial responde 403.
• Limite não publicado, mas sinalizado. Fontes de terceiros falam em 20 a 30 consultas por 5 minutos por IP; 45 em 4 minutos passaram sem bloqueio. O CORS expõe o cabeçalho Nicbr-Rate-Limit-Exceeded (visto em 12/09/2026 em access-control-expose-headers): é o sinal oficial do bloqueio, e o site para ao vê-lo. Conferência: no máximo 20 nomes por abertura, um a cada 2,5 s; quem disputa: dez tickets por vez.
• O corpo traz um aviso de uso que proíbe distribuição e uso comercial do dado. Por isso o resultado de uma conferência fica só no aparelho de quem conferiu: nada volta ao servidor.

A extensão NIC.br do RDAP: DNS conferido e tamanho do titular

O RDAP do .br implementa os RFCs 7480 a 7484 e uma extensão própria, documentada em ftp.registro.br/pub/doc/br-rdap-extensions-02.txt e tipada em github.com/registrobr/rdap. Conferida em 12/09/2026 contra respostas reais. O que ela acrescenta:

• Por servidor de DNS, a conferência do próprio registro. Cada item de nameservers traz um evento delegation check com status (ns aa quando responde com autoridade; ns timeout, ns udn, ns uh, ns fail... quando não) e um last correct delegation check com a data da última resposta certa. Para um nome que não resolve, essa data é o "desde quando", sem precisar do Internet Archive.
• Status só do NIC.br: nicbr inactive court order e nicbr inactive CG marcam nome tirado do ar por ordem judicial ou pelo CGI.br.
• nicbr_arbitration: o titular aceitou a política de arbitragem (o SACI-Adm). Verdadeiro nos domínios recentes que conferimos, ausente em google.com.br, provavelmente por ser anterior à política (não conferido).
• Na entidade (/entity/<cnpj>): nicbr_domainCount, quantos domínios o titular tem. A titular de pneus.com.br tem 166. Um dono com 1 domínio é uma empresa com seu nome; com 166 é uma carteira. A mesma resposta traz o nome de uma pessoa (legalRepresentative); esta ferramenta não o lê, não o guarda e não o exibe.

As três listas da rodada

São três arquivos, e a diferença entre o segundo e o terceiro é sutil o bastante para ter custado um erro de leitura neste projeto:

• Todas vêm em ISO-8859-1, não UTF-8.
• A terceira é regerada a cada 5 minutos durante a rodada (cabeçalho "Arquivo gerado em", medido em 10/09/2026), enquanto as outras duas ficam paradas desde a véspera. Ela manda sobre qualquer leitura antiga: uma requisição resolve a situação de todos os elegíveis.
• Em 09/09/2026 a classificação pelo bitmask concordou com ela em 58 de 59 nomes, sem falso positivo. Serve de conferência independente.
• Todo elegível entrou em leilão em cerca de 30 horas de rodada. Depois disso, "elegível fora do leilão" é lista vazia.
• lista-competicao.txt é agrupada por rodada, e o leilão não acaba junto com ela. Cada grupo abre com uma linha # Processo de liberação no período de .... Em 17/09/2026, uma hora depois do fim da rodada de setembro, o arquivo tinha 28 nomes: 1 da rodada de julho, 25 da de agosto e 2 da de setembro. O parser precisa pular as linhas com # e não pode supor que todo nome é da rodada atual; "ainda está em leilão?" só se responde por este arquivo, nunca pela data da rodada.

O painel autenticado

• As páginas são renderizadas por JavaScript: curl devolve uma casca vazia. Para ler, Chromium headless com --dump-dom e orçamento de tempo virtual, ou os chunks em /assets/. Medido em 09/09/2026.
• A CSP e os cabeçalhos fecham os atalhos: connect-src só para a própria origem, o RDAP e o provedor de pagamento; frame-ancestors 'none'; COOP same-origin. Um bookmarklet não consegue mandar dado para fora.
• Não existe cancelar candidatura, nem no painel, nem na documentação. A vaga fica travada até a rodada resolver.
• O painel não avisa quando você é ultrapassado num leilão. A recomendação oficial é acompanhar os 10 minutos finais.
• O preço de um leilão só existe para quem tem ticket nele. O painel recebe, por WebSocket, uma linha por ticket do próprio usuário, com a maior oferta, a próxima oferta válida, o incremento e o fim. O servidor confere a origem no handshake (403 para origem estranha), e o feed inclui o documento do titular, que nunca deve sair da aba. Não há endpoint que liste todos os leilões com preço, nem página pública de resultados. Medido em 11/09/2026.
• Existe um endpoint que envia oferta. A oferta é vinculante, e não pagar gera restrição de 6 meses que o Registro.br correlaciona entre contas. Esta ferramenta nunca o chama, e nenhuma automação deveria.
• Sem histórico público de preços. O que existe são as estatísticas que o NIC.br publicou da primeira rodada, em setembro de 2017: mediana das ofertas vencedoras R$ 750, valor mais frequente R$ 250.

Limite de consultas, medido

O Registro.br limita por IP, e o limite vale para a máquina inteira, não só para o script. Medido em 09/09/2026, já com o detector de bloqueio correto:

A 2,7 req/s o site passou a responder "Taxa máxima de consultas excedida" para o navegador do próprio usuário, não só para o script. As regras de convivência que saíram disso:

• 2 segundos entre consultas, no mínimo;
• uma conexão só, nada de paralelizar;
• filtrar a lista antes: nunca consultar os 125 mil nomes da rodada;
• em bloqueio, pausar 60 segundos e reconsultar o nome.

Os arquivos do Liberados, documentados

O Registro.br não publica API; nós publicamos. Os arquivos abaixo são os mesmos que as páginas usam, sem chave e sem cadastro. Eles são derivados das listas oficiais: a fonte é o Registro.br, a nota e as categorias são nossas.

• /dados.json — os nomes de melhor nota que já consultamos no Registro.br, com a situação de cada um. É o que a lista da página mostra. Regerado a cada execução da varredura, algumas vezes por dia (a hora está em gerado_em). Cerca de 950 KB, ou 120 KB comprimido (setembro de 2026).
• /todos.json — a rodada inteira (~125 mil nomes) com nota e categoria, mas sem situação: ninguém consultou esses nomes um a um. Serve para busca e recorte. Muda uma vez por rodada. Cerca de 3,8 MB, ou 880 KB comprimido (setembro de 2026).

Os arquivos não mandam cabeçalho CORS (conferido em 17/09/2026): um script, um servidor ou um agente baixam normalmente, mas o fetch de uma página em outra origem é barrado pelo navegador.

Os dois são posicionais de propósito: cada domínio é uma lista, e valor que se repete vira índice num vocabulário no topo do arquivo. Em objetos nomeados, os 15 mil itens passariam de 3 MB. Leia sempre o campo versao antes de interpretar as colunas.

Os vocabulários do topo são listas, e o índice de cada coluna aponta para a posição nelas. Em status, as oito situações possíveis: LIBERACAO_LIVRE (na rodada, sem candidato visível), LIBERACAO_DISPUTADA (dois ou mais), COMPETITIVO (leilão), LIVRE, REGISTRADO, AGUARDANDO_LIBERACAO (o status 5, nome travado), INDISPONIVEL (o status 3) e LIVRE_COM_TICKET (o status 1, nunca visto). Sempre pelo nome, nunca pela posição: a ordem da lista pode mudar entre versões.

dados.json, versão 11

Cada item de itens tem 16 posições, nesta ordem:

As posições 11 e 12 são estimativa pelo ritmo de emissão de tickets da rodada, não leitura direta: o número do ticket de cada nome nunca vai para o site. No topo do arquivo vêm ainda rodada (início e fim), gerado_em, em_leilao_em (quando lemos a lista de leilões), total_rodada, total_elegiveis, nao_verificados (nomes da seleção ainda sem consulta), criterios, frescor (as classes de reconferência, com o prazo de cada uma em horas), grafo_com (de que grafo sai a posição 15 e quantos domínios ele tem, {"grafo", "total"}) e ritmo: a curva do contador de tickets do .br ao longo da rodada, pares [epoch, maior ticket visto]. Esse contador numera todo pedido de registro .br, não só candidaturas (A11), e não diz nada sobre um nome em particular.

Os dois arquivos trazem no topo o mesmo campo previa: os nomes que a prévia do leilão prevê na lista de elegíveis da rodada seguinte, como {"alvo": "AAAA-MM", "publicado_em": "AAAA-MM-DD", "nomes": [...]} (alvo é o mês da rodada do leilão), ou null quando não há prévia para ela. É previsão, não a lista oficial.

todos.json, versão 7

Seis posições (de sete a nove nos nomes com links, sinal ou .com no grafo), e o formato é diferente do outro arquivo:

A série histórica e os índices da ficha

Em /dados/historico/ ficam as contagens das rodadas guardadas desde 2017 (a origem de cada uma está em F5, abaixo) e os índices que a ficha Quando volta lê. Mudam a cada lista nova, não a cada varredura.

<xx> é a fatia do nome, de 00 a ff: FNV-1a de 32 bits sobre os bytes UTF-8 do nome em minúsculas, módulo 256, em hexadecimal com dois dígitos. Assim o navegador baixa só a fatia do nome consultado.

def fatia(nome):
    h = 0x811C9DC5
    for b in nome.strip().lower().encode("utf-8"):
        h = ((h ^ b) * 0x01000193) & 0xFFFFFFFF
    return f"{h % 256:02x}"

Para agentes de IA há ainda /llms.txt, /llms-full.txt e, em cada página, um espelho em Markdown (/<página>/index.md, como o desta). Os lembretes das rodadas são arquivos de calendário em /lembretes/rodadas/AAAA-MM-DD.ics.

Se você for consumir isso num script ou agente

• Baixe o JSON, não raspe a página. É o mesmo dado, num arquivo só, e não custa nada a ninguém.
• Para conferir a situação na hora, use o RDAP (acima), nome a nome, e pare no primeiro Nicbr-Rate-Limit-Exceeded (ou HTTP 429). O limite é por IP e derruba o navegador de quem estiver usando junto. Para poucos nomes, 2 s entre consultas bastam; numa varredura longa o ritmo sustentável ficou perto de 3 por minuto (12 a 15 s entre consultas, 14 e 15/09/2026), e a janela do limite não zera em 5 minutos.
• Nunca colete o diretório em massa nem guarde dado de titular: a Política de Uso do Registro.br proíbe, e /entity/ bloqueia quase de imediato.
• "0 competindo" não quer dizer sem concorrente. A fonte não distingue nenhum de um; um candidato único fica invisível. Não prometa "livre" a partir desse número.
• Acento e hífen não criam nome novo no .br, e algumas extensões só aceitam CPF ou CNPJ (med.br e adv.br são só CPF, ind.br só CNPJ, sem comprovação da profissão). Já as extensões de fato restritas, como org.br e gov.br, exigem documento ou autorização, e nome livre nelas não é registrável por qualquer um.

Catálogo de limitações

Uma linha por limitação, para consulta rápida. O detalhe de cada uma está nas seções acima.

Tudo acima foi medido com comandos públicos (curl e navegador headless) nas datas indicadas, e pode mudar sem aviso. Este projeto não tem vínculo com o Registro.br, o NIC.br ou o CGI.br.