Cosa stai guardando
Ogni query va a un resolver ricorsivo pubblico, che risponde dalla sua cache (il TTL mostrato è il tempo rimasto in quella cache) oppure interroga i server autoritativi della zona. Per questo due resolver possono essere in disaccordo dopo una modifica: uno tiene ancora il vecchio record finché il suo TTL non scade. Il confronto tra resolver lo rende visibile; quando entrambi concordano con ciò che ti aspetti, la modifica si è propagata per quanto riguarda la maggior parte di Internet. La propagazione completa è semplicemente «ogni cache è scaduta», quindi abbassare il TTL un giorno prima di una modifica è l’unico modo per renderla rapida.
I tipi di record in breve
| Tipo | Contiene | Verifica tipica |
|---|---|---|
| A / AAAA | indirizzo IPv4 / IPv6 | il sito punta al server giusto? |
| CNAME | alias di un altro nome | non può coesistere con altri record sullo stesso nome; mai sull’apice della zona |
| MX | server di posta con priorità | il numero più basso viene provato per primo; la destinazione deve avere un A/AAAA, non un CNAME |
| TXT | testo libero: SPF, DMARC, DKIM, verifica del sito | esattamente un record SPF |
| NS | name server autoritativi | devono corrispondere a ciò che delega la zona padre |
| SOA | parametri della zona: serial, refresh, retry, expire, minimum | il serial aumenta a ogni modifica; minimum è il TTL di negative caching |
| CAA | quali autorità di certificazione possono emettere | Let’s Encrypt richiede issue "letsencrypt.org" o nessun CAA |
| SRV | posizione di un servizio: priorità, peso, porta, destinazione | _sip._tcp, _xmpp-client._tcp, _minecraft._tcp |
| DS / DNSKEY | catena di fiducia DNSSEC | il DS nel padre deve corrispondere a una KSK nella zona; il flag AD indica validazione riuscita |
| HTTPS / SVCB | service binding: ALPN (h2, h3), ECH, suggerimenti IP | ciò che Cloudflare pubblica per HTTP/3 ed Encrypted Client Hello |
| TLSA | pinning di certificati DANE | soprattutto per SMTP tra server di posta |
SPF e il limite di 10 lookup
Un record SPF elenca chi può inviare posta per il dominio. Ogni termine include:, a, mx, ptr, exists e redirect= costa al server ricevente un lookup DNS, e RFC 7208 limita il totale a dieci, contati attraverso ogni include annidato. Superalo e i destinatari restituiscono permerror, che DMARC tratta come fallimento, quindi la posta di un dominio con troppi include inizia a finire nello spam il giorno in cui un provider aggiunge un altro include al proprio record. La vista a catena risolve ogni include e mostra il totale progressivo; la soluzione abituale è sostituire include: con gli intervalli ip4: del provider o eliminare i mittenti che non usi più. Gli include che non risolvono a nessun record SPF contano come «void lookup», limitati a due.
DMARC e DKIM
DMARC vive in _dmarc.dominio e dice cosa fare quando né SPF né DKIM sono allineati con l’indirizzo From: p=none monitora, p=quarantine cartella spam, p=reject rifiuta. Le chiavi pubbliche DKIM vivono in selettore._domainkey.dominio; il selettore è nel tag s= dell’header DKIM-Signature di qualsiasi messaggio che invii, quindi guarda lì se non lo conosci. Selettori comuni: google (Google Workspace), selector1/selector2 (Microsoft 365), k1 (Mailchimp), default, mail, dkim.
Domande
Perché Cloudflare e Google danno risposte diverse?
Caching. Un resolver ha recuperato il record prima della tua modifica e lo tiene finché il suo TTL non scade; l’altro lo ha recuperato dopo. Aspetta che il vecchio TTL scada, o abbassa il TTL prima della prossima modifica. Se continuano a essere in disaccordo, i tuoi name server autoritativi potrebbero non essere sincronizzati tra loro (confronta il serial SOA su ciascuno).
Perché non c’è nessun record quando so che esiste?
Controlla il nome esatto: www.example.com ed example.com sono nomi diversi. Un CNAME sul nome nasconde gli altri tipi. Se lo stato è NXDOMAIN il nome non esiste affatto; NOERROR senza risposte significa che il nome esiste ma non ha record di quel tipo.
Cosa significa il flag DNSSEC (AD)?
Il resolver ha validato la risposta contro la catena di fiducia DNSSEC e il controllo è riuscito. Se la zona è firmata e il flag manca su entrambi i resolver, il record DS nel padre potrebbe non corrispondere alla chiave della zona (un classico dopo un cambio di provider DNS), il che rende il dominio irraggiungibile per i resolver che validano.
È la stessa cosa di dig o nslookup?
Quasi. dig +dnssec example.com MX @1.1.1.1 fa la stessa domanda allo stesso resolver. Questa pagina usa gli endpoint DNS over HTTPS dei resolver per poter girare in un browser; non può interrogare direttamente i tuoi name server, quindi per verificare le risposte autoritative usa dig @ns1.tuodns.com.
Perché il conteggio dei lookup SPF è diverso da un altro strumento?
Gli strumenti differiscono su se contare il modificatore redirect=, gli include annidati e i termini a/mx con argomenti espliciti. Questa pagina segue RFC 7208 sezione 4.6.4: include, a, mx, ptr, exists e redirect contano tutti, a ogni livello di annidamento; ip4, ip6 e all sono gratuiti.