Ricerca DNS

I tipi di record

NetCheck interroga in tempo reale il resolver DNS pubblico di Google (tramite DNS-over-HTTPS) e mostra la risposta così com'è. Ogni tipo di record ha un ruolo preciso:

Il TTL, ovvero perché una modifica non è immediata

Ogni risposta DNS ha un TTL (time to live), in secondi. È il tempo per cui i resolver di tutto il mondo possono tenere la risposta in memoria senza chiedere di nuovo. Un TTL di 3600 significa che una modifica può impiegare fino a un'ora per essere visibile ovunque. Prima di una migrazione, abbassa il TTL a 300 (cinque minuti) il giorno prima, fai la modifica e rialzalo quando tutto è verificato. Per seguire una modifica in corso, usa lo strumento Propagazione DNS.

Email: SPF, DKIM e DMARC

La maggior parte delle email che finiscono nello spam si spiega con i record TXT.

• SPF elenca i server autorizzati a inviare email per conto del dominio. Ne serve uno solo per dominio, che inizia con v=spf1. Due record SPF distinti li invalidano entrambi: uniscili.
• DKIM pubblica una chiave che permette al destinatario di verificare la firma di ogni messaggio. Si trova su un sottodominio del tipo selettore._domainkey.esempio.it, che ti indica il tuo fornitore di email.
• DMARC, pubblicato su _dmarc.esempio.it, dice cosa fare dei messaggi che non superano questi controlli: lasciarli passare (p=none), metterli nello spam (p=quarantine) o respingerli (p=reject). Gmail e Yahoo ormai lo richiedono ai mittenti di grandi volumi.

Per leggere un record DKIM o DMARC, scrivi direttamente il sottodominio interessato, per esempio _dmarc.esempio.it, e scegli il tipo TXT.

Errori di configurazione comuni

• Un CNAME alla radice: lo standard vieta un CNAME sul dominio nudo (esempio.it), perché entrerebbe in conflitto con i record NS e SOA. Alcuni fornitori DNS offrono il «CNAME flattening» o un tipo ALIAS per aggirare la regola.
• Un MX che punta a un indirizzo IP: un MX deve indicare un nome host, che a sua volta abbia un record A.
• Name server incoerenti: se gli NS dichiarati presso il registrar sono diversi da quelli della zona, una parte dei visitatori può ricevere risposte vecchie.
• Un AAAA dimenticato: se un record IPv6 punta ancora al vecchio server, i visitatori in IPv6 arrivano sul vecchio sito. Ricordalo durante una migrazione.

Leggere una risposta vuota

«Nessun record» non significa necessariamente che ci sia un problema: molti domini non hanno né AAAA né CAA, ed è normale. Invece, un dominio senza A né AAAA non può mostrare un sito, e un dominio senza MX non può ricevere email. Se il resolver risponde che il dominio non esiste (codice 3, detto NXDOMAIN), controlla l'ortografia e poi il suo stato con lo strumento WHOIS.

Domande frequenti

I risultati sono aggiornati?

Sì: la richiesta va in tempo reale al resolver pubblico di Google, tramite DNS-over-HTTPS. Ma questo resolver, come tutti gli altri, rispetta il TTL: subito dopo una modifica può ancora restituire il vecchio valore. Lo strumento Propagazione DNS confronta più resolver alla volta.

Che differenza c'è tra un record A e un CNAME?

Il record A fornisce direttamente un indirizzo IP. Il CNAME rimanda a un altro nome, che viene a sua volta risolto. È comodo quando l'indirizzo di destinazione cambia spesso (piattaforme, CDN), ma aggiunge un passaggio e non può coesistere con altri record sullo stesso nome.

Cosa significa il numero davanti a un record MX?

È la priorità: più è bassa, più il server ha la precedenza. I mittenti provano prima il server con il valore più piccolo, poi passano ai successivi se non risponde.

A cosa serve il record CAA?

Limita le autorità di certificazione che possono emettere un certificato per il tuo dominio. Senza CAA, chiunque può farlo; con il CAA, un'autorità non elencata deve rifiutare, il che riduce il rischio di un certificato fraudolento.