Rapporto sulla salute del dominio

Un nome di dominio è preso in affitto, delegato e a volte firmato, e ognuno di questi livelli può tradirti senza avvisare gli altri. Questo rapporto li passa tutti in rassegna ed elenca ciò che richiede attenzione, a partire dal più urgente.

Dietro un nome ci sono tre soggetti

Un dominio non è mai tuo. Lo affitti a anni, e per tenerlo in vita servono tre soggetti distinti.

Il registro: Il gestore dell’estensione: Verisign per .com, Nominet per .uk, DENIC per .de. Tiene l’elenco principale di chi affitta quale nome e fino a quando.
Il registrar: Il negozio dove paghi: Namecheap, GoDaddy, Gandi, Cloudflare. Scrive i tuoi dati nel registro per conto tuo.
L’hosting DNS: L’azienda che gestisce i tuoi name server, le macchine che rispondono a «qual è l’indirizzo di questo nome?». Spesso è di nuovo il registrar, ma non è obbligatorio.

Quando l’affitto scade, o i name server smettono di rispondere, il sito web e tutte le caselle di posta del dominio spariscono insieme. Sul tuo server web non è cambiato nulla, quindi dall’interno un guasto del genere lascia perplessi.

Cosa verifica il rapporto

Se inserisci un sottodominio, il rapporto risale al dominio registrato, perché rinnovo e delega avvengono a quel livello.

Livello	Come viene letto	Segnalato quando
Scadenza	Il record RDAP del registro, il successore strutturato di WHOIS	Rosso sotto i 30 giorni o se già scaduto, ambra sotto i 60 giorni
Blocco del trasferimento	I codici di stato nello stesso record	Non c’è nessuno stato `transfer prohibited`
Name server	A ogni server viene chiesto direttamente il record SOA della zona	Meno di due server, un server muto o non autorevole, oppure numeri di serie diversi
DNSSEC	Record DS nel registro, DNSKEY nella zona e una risposta validata dal resolver pubblico 1.1.1.1	Esiste un DS ma la zona non è firmata o non supera la validazione
Basi	CAA, MX, A, AAAA e il nome `www`	Nessun MX, nessun record A, oppure `www` non si risolve

Un record CAA o AAAA mancante appare come facoltativo, non come errore. Lo stesso vale per un DNSSEC semplicemente disattivato.

Come leggere la riga DNSSEC

DNSSEC aggiunge firme alle risposte DNS, così un resolver può dimostrare che nessuno le ha alterate lungo il percorso. Funziona in coppia. La zona pubblica le sue chiavi pubbliche (DNSKEY) e il registro pubblica l’impronta di una di esse (DS). Un resolver confronta l’una con l’altra.

Disattivato: nessun DS nel registro. Il dominio funziona esattamente come la maggior parte di internet.
Attivo e valido: DS e chiavi concordano e 1.1.1.1 segna la risposta come autenticata.
Rotto o Non valido: il registro annuncia ancora un’impronta, ma la zona non è firmata o è firmata con un’altra chiave. I resolver che validano, tra cui Google Public DNS, Cloudflare e Quad9, restituiscono allora SERVFAIL e, per quanto ne sanno i loro utenti, il dominio non esiste.

Quest’ultimo stato segue quasi sempre un trasloco verso un nuovo hosting DNS in cui il vecchio DS è rimasto presso il registrar. Un DNSSEC attivato a metà è peggio di nessun DNSSEC, quindi trattalo come un guasto.

Come sistemare ciò che emerge

Scadenza vicina. Rinnova subito, attiva il rinnovo automatico, poi controlla che la carta registrata e l’e-mail di contatto funzionino ancora. La maggior parte dei domini persi aveva un promemoria di rinnovo inviato a una casella che nessuno legge più.
Non bloccato. Cerca «Transfer lock», «Domain lock» o «Registrar lock» nel pannello del registrar. Imposta clientTransferProhibited e non costa nulla.
Un name server muto. Se appartiene a un hosting precedente, toglilo dall’elenco presso il registrar. I resolver scelgono tra i server elencati, quindi una sola voce morta rende lente o fallite una parte delle richieste.
Numeri di serie non allineati. Uno scarto di qualche minuto dopo una modifica è normale. Se dura un’ora, il server secondario ha smesso di copiare la zona ed è il momento di contattare l’hosting DNS. Un dominio diviso di proposito tra due provider DNS mostra sempre due numeri di serie, ed è previsto.
DNSSEC rotto. O cancelli il record DS presso il registrar, o firmi la zona presso il nuovo hosting DNS e ne incolli i valori DS. Non lasciare al suo posto la vecchia impronta.
Nessuna posta desiderata. Un dominio che non deve ricevere nulla può dirlo con un null MX: example.com. MX 0 .

Alcuni registri, soprattutto quelli dei domini nazionali, non pubblicano alcun record RDAP o ne omettono la data di scadenza. In quel caso il rapporto lo dice, e l’unica fonte affidabile diventa il tuo account presso il registrar. Il rapporto non può nemmeno vedere se il rinnovo automatico è attivo o chi può accedere a quell’account.

Domande frequenti

Come faccio a sapere quando scade un dominio?

Genera il rapporto. La data di scadenza arriva direttamente dal record RDAP del registro. Se il registro non la pubblica, trovi la data nel tuo account del registrar, nei dettagli del dominio.

Cosa succede quando un dominio scade?

Il registrar per prima cosa punta il nome a una pagina di parcheggio, quindi sito ed e-mail si fermano. Per la maggior parte delle estensioni hai poi un periodo di tolleranza di diverse settimane per rinnovare al prezzo normale, seguito da un periodo di riscatto con una tariffa alta. Dopo, il nome viene liberato e chiunque può registrarlo.

Mi serve DNSSEC?

È facoltativo. Protegge i visitatori da risposte DNS falsificate e molti hosting DNS lo attivano con un solo interruttore. Attivalo solo se ti ricorderai di aggiornare il record DS ogni volta che cambi hosting DNS.

Cos’è un record CAA ed è obbligatorio?

Un record CAA indica le autorità di certificazione autorizzate a emettere certificati per il tuo dominio, per esempio 0 issue "letsencrypt.org". Non è obbligatorio. Senza, qualsiasi autorità può emetterne.

Quanti name server deve avere un dominio?

Almeno due, su reti diverse. Ogni hosting DNS te ne dà da due a quattro di serie. Elencali tutti presso il registrar.

Cosa significa clientTransferProhibited?

È il blocco del trasferimento. Finché quello stato è impostato, il registro rifiuta qualsiasi richiesta di spostare il dominio presso un altro registrar. Lo togli tu stesso, per qualche giorno, quando vuoi davvero trasferirlo.