Record DNS spiegati: A, AAAA, CNAME, MX, TXT, NS e CAA

Il pannello DNS del registrar o del provider di hosting si presenta spesso come una tabella di righe criptiche. Ogni riga è un record, e ciascun tipo di record risponde a una domanda diversa: dove si trova il sito, chi riceve la posta, chi è autorizzato a emettere certificati. Capire i tipi principali ti permette di modificare una zona senza rompere nulla.

La struttura di un record

Ogni record ha quattro elementi:

• nome: il dominio o sottodominio a cui si riferisce (spesso @ indica il dominio principale);
• tipo: A, CNAME, MX e così via;
• TTL: per quanti secondi può restare in cache;
• valore: il contenuto, che dipende dal tipo.

Nel formato testuale standard, una riga appare così:

www.esempio.it. 3600 IN A 203.0.113.10

I record per raggiungere un servizio

A e AAAA

Il record A associa un nome a un indirizzo IPv4, il record AAAA a un indirizzo IPv6. Un nome può avere più record dello stesso tipo: il resolver li restituisce tutti e il client ne sceglie uno, una forma elementare di distribuzione del carico.

CNAME

Il CNAME dice che un nome è un alias di un altro. Per esempio shop.esempio.it può puntare a negozio.piattaforma.com: il resolver segue l'alias e cerca l'indirizzo del nome finale. È comodo quando il servizio esterno cambia i propri indirizzi senza preavviso.

Due regole da ricordare:

1. un nome che ha un CNAME non può avere altri record di nessun tipo;
2. per questo il dominio principale (esempio.it) non può essere un CNAME, perché deve avere almeno i record SOA e NS.

Molti fornitori DNS offrono soluzioni proprietarie per aggirare il secondo limite, con nomi come ALIAS, ANAME o "CNAME flattening": il server risolve l'alias internamente e restituisce un normale record A.

SRV

Il record SRV indica host e porta di un servizio specifico, con priorità e peso. È usato da protocolli come SIP per la telefonia, XMPP e alcuni servizi di directory aziendali.

I record per la posta

Il record MX indica quali server ricevono la posta del dominio, ciascuno con una priorità numerica: il valore più basso è il preferito. Un MX deve puntare a un nome che abbia record A o AAAA, non a un indirizzo IP diretto né a un CNAME.

Per la posta contano anche diversi record TXT, che pubblicano le politiche di autenticazione del dominio (SPF, DKIM e DMARC). Senza di essi, i messaggi inviati dal dominio rischiano di finire nello spam.

TXT: il contenitore per tutto il resto

Il record TXT contiene testo libero. Oltre alle politiche di posta, è usato per:

• verificare la proprietà del dominio presso servizi esterni (motori di ricerca, piattaforme cloud, certificati);
• pubblicare chiavi e informazioni di configurazione.

Più record TXT possono coesistere sullo stesso nome. Fa eccezione SPF: per un dominio deve esistere un solo record SPF, altrimenti la verifica fallisce.

I record che definiscono la zona

• NS elenca i server autoritativi del dominio. I record NS presso il registro del TLD (la delega) devono coincidere con quelli dentro la zona.
• SOA (Start of Authority) contiene i parametri della zona: server primario, contatto del responsabile, numero di serie e tempi di aggiornamento, compreso quello della cache negativa.

Se cambi fornitore DNS, la modifica effettiva avviene aggiornando i server NS presso il registrar. Prima di farlo, ricrea tutti i record nella nuova zona: altrimenti sito e posta smettono di funzionare non appena la delega cambia.

CAA: chi può emettere certificati

Il record CAA indica quali autorità di certificazione sono autorizzate a emettere certificati TLS per il dominio. Le autorità sono tenute a controllarlo prima dell'emissione. Esempio:

esempio.it. 3600 IN CAA 0 issue "letsencrypt.org"

È una protezione semplice ed efficace contro l'emissione di certificati da parte di autorità che non usi.

Una zona tipica, in sintesi visiva

Errori frequenti

• Dimenticare il punto finale nei nomi completi, in pannelli che lo richiedono: mx1.esempio.it può diventare mx1.esempio.it.esempio.it.
• Creare un CNAME su un nome che ha già altri record.
• Lasciare record che puntano a servizi dismessi: un sottodominio che punta a una risorsa cloud cancellata può essere rivendicato da altri (il cosiddetto subdomain takeover). Fai pulizia periodica.
• Duplicare il record SPF.

In sintesi

• A e AAAA collegano un nome a un indirizzo; CNAME crea un alias e non convive con altri record.
• MX indica i server di posta, TXT ospita verifiche e politiche come SPF.
• NS e SOA definiscono la zona e la sua delega: cambiali solo dopo aver ricreato i record.
• CAA limita le autorità che possono emettere certificati per il dominio.
• Elimina i record orfani per evitare che sottodomini dimenticati vengano sfruttati.