O que é, afinal, a Public Suffix List e por que ela importa para quem desenvolve

A Public Suffix List (PSL) é um arquivo de texto com mais de 10.000 regras (na data em que o autor escreveu) que dizem a navegadores, gerenciadores de senhas e outros softwares onde termina um site e começa outro. A Mozilla criou a lista em 2007 para resolver um problema de cookies: o navegador não tinha como saber que co.uk pertencia a milhares de empresas sem relação entre si. Hoje todo grande navegador embute a lista, e plataformas multi-tenant como GitHub Pages, Vercel e ngrok registraram milhares de entradas.

O mecanismo é direto. Quando um site pede um cookie com Domain=ngrok.pizza, o navegador procura o sufixo público mais específico. Como ngrok.pizza está na lista, vence o casamento mais longo e o cookie é rejeitado. Com example.com, o sufixo é só com, e o cookie vale para account.example.com. O formato do sufixo varia: com, co.uk, ngrok.pizza e até pvt.k12.ma.us, com quatro rótulos. Só a grafia não revela a fronteira.

Os usos vão além dos cookies. O Firefox usa uma cópia compilada para destacar o domínio registrável na barra de endereço. O Bitwarden faz base-domain matching com a biblioteca tldts, que teve 63,4 milhões de downloads no npm na semana de 5 a 11 de setembro de 2026. Em 2023, o Bitwarden corrigiu uma configuração que deixava desligado o parsing das regras de sufixo privado no tldts, o que abria a chance de sites não relacionados casarem as mesmas credenciais. KeePassXC e a integração Browserpass do pass também usam a PSL, com métodos diferentes.

A Let's Encrypt usa a lista, via publicsuffix-go, para aplicar limites a domínios registrados (50 certificados a cada 7 dias). Mas o mantenedor Simon Friedberger, da Mozilla, disse ao autor que a PSL nunca teve um modelo de ameaça razoável para funcionar como guardiã. O template de submissão desencoraja o uso da lista como rate limiter. A própria ngrok usa a PSL para reservar domínios e liberar wildcards, e, via biblioteca Go, para agrupar tráfego de cobrança e checar reputação de domínios de e-mail. Nada disso é o propósito original.

O artigo também aponta o lado humano: a lista é mantida por um pequeno grupo de voluntários, que neste ano analisou um número recorde de pull requests, a maioria fechada sem merge. Os mantenedores debatem em público se devem dificultar ou facilitar a entrada na lista.

Para quem desenvolve plataformas onde clientes ganham subdomínios, entrar na PSL é o que impede que um tenant leia cookies de outro. Para quem consome a lista em bibliotecas, a leitura é que a configuração importa: o caso do tldts no Bitwarden mostra que desligar as regras privadas muda o comportamento de segurança. E usar a PSL como rate limit ou controle de cobrança é pedir à lista algo que ela não promete.