Leggere un record
Ogni record DNS ha la stessa forma: nome TTL classe tipo dati. Il TTL (secondi) dice per quanto tempo i resolver possono tenerlo in cache; la classe è quasi sempre IN; il tipo decide come leggere i dati. dig stampa esattamente questo formato nella sua ANSWER SECTION, quindi puoi incollarlo direttamente.
Il trio della posta
SPF (un record TXT sul dominio) elenca quali server possono inviare posta per il dominio. Viene valutato da sinistra a destra; il primo meccanismo che corrisponde decide, e il qualificatore davanti (- fail, ~ softfail, ? neutral, + pass) è il risultato. Sono ammessi in totale solo dieci meccanismi che causano lookup DNS (include, a, mx, ptr, exists, redirect), contando gli include annidati; superarli produce un errore permanente che rende il record inutile. Termina con -all o ~all; +all autorizza l’intera Internet.
DKIM pubblica una chiave pubblica in selettore._domainkey.dominio; il server mittente firma ogni messaggio con la chiave privata. Le chiavi dovrebbero essere RSA a 2048 bit o Ed25519; molti destinatari ormai rifiutano quelle a 1024 bit.
DMARC (_dmarc.dominio) dice ai destinatari cosa fare quando né SPF né DKIM sono allineati con il dominio del From (p=none, quarantine, reject) e dove inviare i report aggregati (rua=). Inizia con p=none e i report, sistema le sorgenti che falliscono, poi passa a reject.
Altri record da conoscere
- CAA: quali autorità di certificazione possono emettere certificati per il nome.
0 issue "letsencrypt.org"blocca ogni altra CA; un record CAA assente permette tutte. - SRV: priorità, peso, porta e destinazione per un servizio come
_sip._tcpo_xmpp-client._tcp. Vince la priorità più bassa; il peso ripartisce il carico tra pari. - SOA: il seriale della zona (incrementalo a ogni modifica perché i secondari se ne accorgano), i timer refresh/retry/expire per i secondari e il TTL di negative caching per le risposte NXDOMAIN.
- HTTPS: dice ai browser che un sito supporta HTTP/3 (
alpn="h3,h2") e trasporta le chiavi per l’Encrypted ClientHello.
Domande
Come ottengo i record del mio dominio?
dig example.com ANY ormai funziona raramente; interroga ogni tipo: dig example.com MX, dig TXT example.com, dig _dmarc.example.com TXT, dig +short example.com A. Incolla qui le righe della risposta.
Perché SPF dice «troppi lookup DNS»?
Ogni include:, a, mx, ptr, exists e redirect conta, compresi quelli dentro i record che includi. Google Workspace da solo ne usa diversi. Appiattisci gli include poco usati in intervalli ip4/ip6 o elimina i servizi inutilizzati.
Perché il mio CNAME non funziona sul dominio radice?
Un CNAME non può coesistere con altri record sullo stesso nome, e l’apice ha sempre record SOA e NS. Usa la funzione ALIAS/ANAME/flattening del provider oppure record A/AAAA.
Che TTL dovrei usare?
3600 (un’ora) è un default normale. Abbassalo a 300 il giorno prima di una modifica pianificata, poi rialzalo. TTL molto bassi aumentano il carico sui server autoritativi e rallentano leggermente le risoluzioni.