Punycode IDN

O DNS foi desenhado quando ninguém imaginava domínio em japonês ou em russo. Ele só entende letras ASCII, números e hífen. Para que "café.com.br" funcione mesmo assim, existe o IDNA: antes de sair pela rede, o nome é traduzido para uma forma ASCII equivalente, sempre começada por xn--. É por isso que café.com.br vira xn--caf-dma.com.br e ПРИМЕР.РФ vira xn--e1afmkfd.xn--p1ai.

Aqui você digita o domínio do jeito que ele aparece para uma pessoa e recebe a forma que o servidor de nomes realmente usa. A conversão é feita pelo próprio navegador, com a mesma implementação de IDNA que ele aplica quando você digita o endereço na barra — inclusive a normalização, que baixa maiúsculas e resolve caracteres equivalentes antes de codificar. Cada rótulo entre pontos é codificado separadamente, e os que já são ASCII passam intactos.

O caminho aqui é de mão única: colar um xn-- devolve o mesmo xn--, porque essa já é a forma ASCII. Onde isso resolve problema de verdade é no preenchimento de campos que não aceitam acento — SAN de certificado, registro de zona, allowlist de firewall, configuração de SPF — e na conferência de domínios parecidos, já que dois nomes visualmente idênticos podem ter formas punycode completamente diferentes.