Ricerca dei record DNS
Digita un dominio o un hostname e leggi tutto quello che il DNS pubblica per lui, un tipo di record alla volta. Ogni blocco dice a cosa serve quel tipo, e segnaliamo i pochi record che si contraddicono.
Un nome, diversi tipi di risposta
Si dice spesso che il DNS è l’elenco telefonico di internet. L’immagine funziona se pensi a un elenco in cui ogni nome ha più righe: una per l’indirizzo di casa, una per la cassetta delle lettere, una per il notaio che tiene il fascicolo. Un browser chiede solo l’indirizzo. Un server di posta chiede solo la cassetta delle lettere. Ogni tipo di riga è un tipo di record, e una domanda al DNS indica sempre sia il dominio sia il tipo che vuole.
Ecco come un dominio può caricarsi perfettamente in un browser mentre le sue e-mail tornano indietro. Le due cose dipendono da record diversi, modificati separatamente, spesso da persone diverse.
I tipi di record che questa ricerca legge
| Tipo | Contiene | Letto da |
|---|---|---|
A, AAAA | Gli indirizzi IPv4 e IPv6 del server | I browser, e qualsiasi altra cosa si colleghi al nome |
CNAME | Un altro nome da usare al posto di questo | I resolver, che ricominciano con la destinazione |
MX | I server che accettano la posta, ciascuno con una priorità | I server di posta che inviano |
NS | I name server che ospitano la zona | I resolver che cercano la fonte autorevole |
SOA | Il server primario della zona, il contatto, il numero di serie e i timer | I name server secondari |
TXT | Testo libero: SPF, chiavi DKIM, codici di proprietà | I destinatari della posta e i servizi a cui ti iscrivi |
CAA | Le autorità di certificazione autorizzate a emettere certificati per il dominio | Le autorità di certificazione, prima dell’emissione |
DS, DNSKEY | Le chiavi che firmano la zona e la loro impronta presso la zona superiore | I resolver che convalidano DNSSEC |
Chiediamo tutti questi record nello stesso momento a un resolver pubblico, con un secondo resolver di riserva per ogni domanda che va persa. Viene cercata anche la policy DMARC. È un record TXT, ma vive su un nome tutto suo, _dmarc.example.com, quindi una semplice ricerca TXT sul dominio non la mostra mai.
I valori TXT vengono confrontati con formati noti. Un valore che inizia con v=spf1 viene etichettato come SPF, google-site-verification= o MS= come prova di proprietà per Google o Microsoft 365, e così via per diverse decine di servizi. Gli host di posta e dei name server vengono riconosciuti allo stesso modo, così aspmx.l.google.com appare come Google Workspace / Gmail.
Cosa ti dice la colonna TTL
Ogni record porta un tempo di vita (time to live), in secondi. È per quanto tempo un resolver può conservare la risposta prima di richiederla, quindi è anche il tempo massimo per cui un visitatore può continuare a ricevere il vecchio valore dopo che hai cambiato il record. Un TTL di 3600 significa fino a un’ora di attesa, e 300 significa cinque minuti.
Un resolver che ha già il record riporta il tempo rimanente, non il valore che hai configurato, quindi chiedendo due volte puoi ottenere 3600 e poi 2954. Per evitarti questa confusione, quando può questa ricerca chiede i TTL a uno dei name server della zona stessa, e la nota sotto i risultati dice quale fonte è stata usata.
Due situazioni vengono menzionate, solo a titolo informativo: un TTL sotto i 60 secondi, e un TTL oltre un giorno su qualsiasi record che non sia NS. Nessuna delle due è un errore. Valori molto brevi sono normali presso i fornitori che spostano il traffico tra data center tramite il DNS. Quelli molto lunghi fanno danni solo il giorno in cui devi traslocare.
I conflitti che segnala
- Più di un record SPF
- Un dominio può pubblicare un solo record TXT che inizia con
v=spf1. Con due, i destinatari restituiscono un errore permanente e SPF fallisce per ogni messaggio. Uniscili in uno solo, per esempiov=spf1 include:_spf.google.com include:sendgrid.net ~all. - Un CNAME accanto ad altri record
- Un alias sostituisce l’intero nome, quindi non può condividerlo con MX, TXT o altro. Di solito succede alla radice di un dominio, dove i record NS e SOA devono esistere. Lì usa record A e AAAA, oppure la funzione «ALIAS», «ANAME» o «CNAME flattening» del tuo provider DNS.
- Nessun record di indirizzo
- Senza A o AAAA niente può collegarsi al nome. È normale per un nome che porta solo record di posta o di verifica. Per un sito web è un problema.
- Un solo name server, o chiavi DNSSEC senza record DS
- Con un solo name server, sito e posta dipendono entrambi da un’unica macchina che resti accesa. Chiavi senza un record DS presso il registrar significano che la zona è firmata ma nessuno controlla le firme.
- Server di posta senza SPF, o un record DMARC sul nome sbagliato
- In entrambi i casi è più facile spacciarsi per il dominio. La verifica dell’autenticazione e-mail esamina SPF, DKIM e DMARC nel dettaglio.
I risultati sono quello che un resolver pubblico vede in questo momento. Dopo una modifica recente, altri resolver potrebbero avere ancora il valore precedente, e puoi confrontarli con la verifica della propagazione DNS. I record su nomi che non hai digitato, come le chiavi DKIM sotto selector._domainkey o i record SRV, non sono elencati, perché il DNS non offre alcun modo di chiedere a un dominio tutti i suoi nomi.
Domande frequenti
Come vedo tutti i record DNS di un dominio?
Chiedi ogni tipo di record a turno, ed è quello che fa questa pagina per quelli comuni. Nessuna query del tipo «dammi tutto» funziona in modo affidabile. Oggi la maggior parte dei server rifiuta il tipo ANY o risponde solo in parte, e i record sui sottodomini compaiono solo se cerchi quei sottodomini per nome.
Qual è la differenza tra un record A e un CNAME?
Un record A dà direttamente un indirizzo IP. Un CNAME dà un altro nome, e il resolver va a cercare quel nome al suo posto. Usa un CNAME quando un fornitore ti dice di puntare a uno dei suoi hostname, così può cambiare l’indirizzo senza disturbarti. Un nome con un CNAME non può avere nessun altro record.
Quanto tempo ci vuole perché una modifica DNS sia visibile?
Al massimo il TTL che il record aveva prima della modifica, più i pochi secondi che servono al tuo provider DNS per pubblicarla. Se il vecchio TTL era di un’ora, alcuni visitatori tengono il vecchio valore fino a un’ora. Cambiare i name server presso il registrar segue il TTL della zona superiore, spesso uno o due giorni.
Perché il mio dominio ha così tanti record TXT?
Ogni servizio online che colleghi, dalle piattaforme di posta all’analisi del traffico alla firma di documenti, ti chiede di aggiungere un codice TXT per provare che il dominio è tuo. Si accumulano, e la maggior parte si può eliminare una volta che il servizio li ha verificati o dopo che smetti di usarlo. Tieni il record SPF, e controlla la documentazione del servizio prima di togliere un codice che potrebbe verificare di nuovo.
Cosa significa «nessun record MX» per la mia e-mail?
Nessun server è designato a ricevere la posta del dominio. I mittenti provano allora l’indirizzo del record A, che di solito è un server web che non accetta posta, e il messaggio torna indietro. Se il dominio non deve mai ricevere posta, pubblica un «null MX» (0 .) così i mittenti rinunciano subito.
Posso cercare un sottodominio?
Sì. Digita l’hostname completo, per esempio shop.example.com. Di norma un sottodominio non ha record NS o SOA propri. Rispondono per lui i name server della zona superiore, e il risultato indica quella zona.