Spiegazione dei tipi di record DNS

Un record DNS è un'istruzione memorizzata in un file di zona DNS autorevole che indirizza il traffico Internet, associa i nomi host agli indirizzi IP e instrada la posta elettronica verso i server di posta di destinazione. Se sei alle prime armi con l'amministrazione del DNS, inizia con la nostra guida su cos'è un record DNS. 

Ogni tipo di record DNS svolge una funzione di rete specifica, dalla risoluzione dei nomi host all'autenticazione dei mittenti dei messaggi. La guida di riferimento rapido riportata di seguito illustra i 12 tipi di record DNS più comuni che si incontrano negli ambienti di produzione.

Semplifica i record DNS con PowerDMARC! [MANTENERE COME È]

Tipi di record DNS

La tabella seguente illustra i dodici tipi principali di record DNS utilizzati nell'ambito dell'instradamento web, dello scambio di posta elettronica e della sicurezza delle infrastrutture:

Un record

Un Record A (record di indirizzo) associa un nome di dominio o un sottodominio a un indirizzo IPv4. Quando un utente digita un indirizzo web nel browser, il resolver ricorsivo interroga il record A per individuare il server web che ospita il sito.

Esempio:

example.com. 3600 IN A 192.0.2.1

Record AAAA

Un record AAAA (record Quad-A) funziona come un record A, ma associa un nome host a un indirizzo IPv6 a 128 bit anziché a un indirizzo IPv4 a 32 bit. Poiché il pool globale di indirizzi IPv4 disponibili è esaurito, le reti moderne utilizzano i record AAAA insieme ai record A standard per supportare il routing dual-stack per i visitatori che utilizzano provider Internet compatibili con IPv6.

Esempio:

example.com. 3600 IN AAAA 2001:0db8:85a3:0000:0000:8a2e:0370:7334

Record CNAME

Un record CNAME (Canonical Name) crea un alias che indirizza un nome di dominio verso un altro nome di dominio canonico anziché verso un indirizzo IP. Quando un resolver incontra un record CNAME, riavvia il processo di ricerca utilizzando il nome di dominio di destinazione. I record CNAME non possono coesistere con altri record all'apice della radice della zona.

Esempio:

blog.example.com. 3600 IN CNAME webhost.example.net.

Record MX

Un record MX (Mail Exchanger) indica agli agenti di trasferimento della posta (MTA) dove consegnare le e-mail in arrivo per un determinato dominio. I record MX includono sempre un numero di priorità accanto al nome dell'host di posta, dove i numeri interi più bassi hanno la precedenza. Questo è il tipo di record DNS che identifica un server di posta responsabile dell’elaborazione dei messaggi in entrata.

Esempio:

example.com. 3600 IN MX 10 aspmx.l.google.com.

Record TXT

A record TXT (record di testo) associa a un dominio attributi di testo leggibili da un computer. Sebbene originariamente creati per contenere note leggibili dall'uomo, i record TXT fungono ora principalmente da meccanismo di trasporto per i token di verifica del dominio e i sistemi di autenticazione delle e-mail. Consulta la nostra sezione dedicata qui sotto per scoprire in che modo SPF, DKIM e DMARC si avvalgono dei record TXT.

Esempio:

example.com. 3600 IN TXT “google-site-verification=rXOxyZounnZ…”

Record NS

Un record NS (record Name Server) indica quali server DNS autoritativi gestiscono i record DNS definitivi per un dominio o una sottozona delegata. Ogni dominio richiede almeno due record NS funzionanti che puntino a server dei nomi distribuiti geograficamente, al fine di garantire un'elevata disponibilità e prevenire interruzioni nella risoluzione del dominio.

Esempio:

example.com. 86400 IN NS ns1.powerdns-cloud.com.

Record SOA

Un record SOA (Start of Authority) è un record obbligatorio situato al vertice di ogni zona DNS. Esso contiene i metadati amministrativi fondamentali relativi alla zona, tra cui il server dei nomi master primario, l'indirizzo e-mail di contatto dell'amministratore tecnico, il numero di serie della zona e i timer operativi che controllano la memorizzazione nella cache e i trasferimenti della zona secondaria.

I timer definiti nel record SOA includono l'intervallo di aggiornamento (la frequenza con cui i server secondari interrogano il master per gli aggiornamenti), l'intervallo di riprova (il periodo di attesa dopo un tentativo di trasferimento fallito), il limite di scadenza (il momento in cui i server secondari scartano i dati della zona obsoleti se il master rimane irraggiungibile) e il TTL minimo (che controlla per quanto tempo i resolver memorizzano nella cache le risposte negative alle ricerche, come NXDOMAIN).

Esempio:

example.com. 86400 IN SOA ns1.example.com. hostmaster.example.com. (
2026101001 ; numero seriale
7200 ; aggiornamento (2 ore)
3600 ; ritentativo (1 ora)
1209600 ; scadenza (2 settimane)
3600 ) ; TTL minimo (1 ora)

È possibile verificare i parametri SOA del proprio dominio utilizzando la nostra strumento di ricerca dei record SOA .

Record PTR

Un record PTR (Pointer record) svolge la funzione opposta rispetto a un record A, risolvendo un indirizzo IP nel nome host ad esso associato tramite la risoluzione DNS inversa . I record PTR sono configurati all’interno di zone dedicate alla ricerca inversa (in-addr.arpa per IPv4 e ip6.arpa per IPv6) gestite dal proprietario dello spazio IP anziché dal registrar del dominio.

I server di ricezione delle e-mail eseguono regolarmente controlli DNS inversi sull’indirizzo IP di connessione degli agenti di trasferimento della posta in uscita. Se l’indirizzo IP del mittente non dispone di un record PTR corrispondente che coincida con il nome host diretto del mittente, i filtri antispam aziendali e i principali provider di webmail spesso rifiutano il messaggio in arrivo. È possibile verificare le voci della propria zona inversa con il nostro strumento di ricerca dei record PTR .

Esempio:

1.2.0.192.in-addr.arpa. 3600 IN PTR mail.example.com.

Record SRV

Un record SRV (Service Record) definisce la posizione, il protocollo, il numero di porta, la priorità e il peso dei server che forniscono specifici servizi applicativi. Anziché presupporre l'utilizzo di porte standard, i client di rete interrogano i record SRV per individuare i parametri di connessione personalizzati per protocolli quali SIP (VoIP), i servizi di directory LDAP e la messaggistica XMPP.

La struttura del record SRV inizia con il nome del servizio e il protocollo preceduti da trattini bassi (ad esempio _sip._tcp.example.com), seguiti dai valori di priorità e peso per il bilanciamento del carico, dal numero della porta di destinazione e dal nome host di destinazione che fornisce il servizio.

Esempio:

_sip._tcp.example.com. 3600 IN SRV 10 60 5060 bigbox.example.com.

Record CAA

A record CAA (Certification Authority Authorization record) consente al proprietario di un dominio di specificare quali autorità di certificazione (CA) sono autorizzate a emettere certificati SSL/TLS pubblici per il proprio dominio e i relativi sottodomini. Quando un tecnico richiede un certificato SSL, le CA conformi devono verificare il record CAA del dominio prima di completare l'emissione.

La pubblicazione dei record CAA protegge la vostra organizzazione dalla generazione non autorizzata o fraudolenta di certificati, riducendo il rischio in caso di compromissione di una CA malintenzionata. Il record contiene un flag dell'emittente, un tag di proprietà (emissione, issuewild o iodef per la segnalazione di incidenti relativi a violazioni della sicurezza), nonché l’identificatore CA approvato. È possibile valutare la propria politica di autorizzazione dei certificati con il nostro strumento di verifica CAA.

Esempio:

example.com. 3600 IN CAA 0 issue “letsencrypt.org”

Record DNSSEC (DNSKEY, DS)

Estensioni di sicurezza del sistema dei nomi di dominio (DNSSEC) proteggono i resolver dallo spoofing DNS, dal cache poisoning e dalle manomissioni di tipo "man-in-the-middle" applicando firme crittografiche ai record DNS. Il DNSSEC si basa su due record essenziali: DNSKEY e DS.

Un record DNSKEY memorizza le chiavi pubbliche di firma all’interno della zona figlia. I server autorevoli pubblicano le chiavi di firma della zona (ZSK) per firmare i singoli insiemi di record e le chiavi di firma delle chiavi (KSK) per firmare le chiavi della zona stesse. Un record DS (Delegation Signer) contiene un hash crittografico della chiave di firma delle chiavi della zona figlia e viene pubblicato direttamente nella zona padre (ad esempio .com o .org). I resolver risalgono questa catena di fiducia crittografica fino alla zona DNS radice per verificare che le risposte alle query non siano state alterate durante il transito. Verifica la tua configurazione di firma con il nostro strumento di verifica DNSSEC.

Esempio di DNSKEY:

example.com. 3600 IN DNSKEY 257 3 13 oJM7nE…9yZ==

Esempio DS:

example.com. 3600 IN DS 2371 13 2 4f2e9a18…cb02

Record di autenticazione delle e-mail: SPF, DKIM, DMARC

Un punto di confusione comune è quello di considerare SPF, DKIM, DMARC, BIMI e MTA-STS come tipi di record DNS a sé stanti. Nelle specifiche del protocollo DNS, questi non sono tipi di record di risorse distinti. Si tratta piuttosto di politiche di configurazione standardizzate pubblicate come record TXT (o, occasionalmente, record CNAME per i selettori DKIM ospitati ) ospitati su nomi host e sottodomini designati.

Quando un server di posta remoto riceve un messaggio che dichiara di provenire dal proprio dominio, esegue una ricerca in queste stringhe di testo per verificare se il mittente è autorizzato, se il corpo del messaggio è stato alterato durante il transito e quale azione intraprendere in caso di mancata convalida:

Poiché queste politiche di autenticazione risiedono in record TXT standard, errori tipografici o una sintassi errata possono compromettere immediatamente la consegna delle tue e-mail. Verifica il tuo dominio tramite il nostro strumento gratuito Analizzatore di domini per verificare che i tuoi record SPF, DKIM e DMARC siano sintatticamente corretti e protetti contro lo spoofing del dominio.

Come cercare ogni tipo di record DNS

È possibile verificare i record DNS pubblicati per qualsiasi dominio utilizzando strumenti web o utilità da riga di comando.

Per una valutazione rapida tra i resolver ricorsivi globali, utilizza il nostro servizio gratuito strumento di ricerca dei record DNS . Recupera i record A, AAAA, MX, CNAME, TXT, NS, SOA e PTR senza richiedere l'installazione di alcun software.

Se preferisci eseguire la risoluzione dei problemi da un terminale:

• Su macOS e Linux: Utilizza dig per interrogare tipi specifici di record:
  

dig example.com MX

• Su Windows: Utilizzare nslookup specificando il tipo di query:
  

nslookup -type=MX example.com

Nel valutare le risposte, prestare attenzione al valore del Time to Live (TTL). Se è stato recentemente aggiornato un record DNS, i resolver ricorsivi continueranno a restituire la voce precedente memorizzata nella cache fino alla scadenza di tale TTL. È possibile monitorare lo stato di avanzamento degli aggiornamenti nelle diverse regioni con il nostro strumento di verifica della propagazione DNS.

Perché ogni tipo di record DNS è importante

I record DNS costituiscono la mappa di base di ogni transazione su Internet. Quando i record sono configurati correttamente, i browser risolvono immediatamente gli indirizzi dei siti web, i gateway di posta instradano i messaggi senza intoppi e le intestazioni crittografiche verificano l'autenticità dei mittenti.

Quando un record DNS è configurato in modo errato, mancante o punta a un'infrastruttura dismessa, i servizi critici smettono immediatamente di funzionare:

• Un codice errato o mancante A/AAAA rende il tuo sito web inaccessibile.
• Un record MX configurato in modo errato fa sì che le e-mail in arrivo vengano respinte e restituite ai mittenti.
• Un file record di autenticazione TXT contrassegna le e-mail di marketing e transazionali come spam.
• Un nome di dominio CNAME che punta a un host di terze parti abbandonato espone il tuo dominio al rischio di appropriazione ostile del sottodominio.

Mantenere registri accurati delle zone e attenersi alle migliori pratiche di sicurezza DNS garantisce che la vostra infrastruttura digitale di base rimanga disponibile, performante e protetta dagli attacchi di intercettazione.

Parole finali

Comprendere i tipi di record DNS è fondamentale per chiunque sia responsabile dell’amministrazione dei domini, delle prestazioni web e della sicurezza della posta elettronica. Ogni tipo di record svolge un ruolo specifico, dalla traduzione dei nomi host con i record A e AAAA alla creazione di un rapporto di fiducia crittografico per la posta elettronica tramite le voci TXT. Effettuare controlli regolari dei file di zona DNS garantisce il corretto funzionamento dei servizi di rete, proteggendo al contempo il proprio marchio dalle vulnerabilità legate allo spoofing e ai record “dangling”.

Domande frequenti

Quanti tipi di record DNS esistono?

L'Internet Assigned Numbers Authority (IANA) gestisce un registro contenente decine di tipi ufficiali di record di risorse DNS. Sebbene molti di questi tipi siano di natura storica, sperimentale o ormai in disuso, i domini operativi si basano in larga misura su un insieme fondamentale di circa 12-15 tipi di record standard per l'instradamento web di routine, la consegna della posta elettronica e la sicurezza dei domini.

Qual è il tipo di record DNS più comune?

Il record A è il tipo di record DNS più comune e fondamentale su Internet. Quasi tutti i nomi di dominio ospitati sul web richiedono almeno un record A per associare il proprio nome di dominio o sottodominio, leggibile dall'utente, a un indirizzo IPv4 accessibile.

Di quali tipi di record DNS ho bisogno per la posta elettronica?

Per inviare e ricevere e-mail in modo affidabile, sono necessari un record MX che punti al proprio server di posta, record A o AAAA validi per l'host di quel server di posta e un record PTR corrispondente per la convalida DNS inversa. Inoltre, sono necessari record TXT configurati per SPF e DMARC, insieme a record TXT o CNAME per DKIM.

Qual è la differenza tra un record A e un record CNAME?

Un record A associa direttamente un nome host a un indirizzo IPv4 fisico (ad esempio, example.com a 192.0.2.1). Un record CNAME associa un nome host alias a un altro nome di dominio canonico (ad esempio, blog.example.com a webhost.example.net). Per confrontare i flussi di ricerca e le limitazioni relative all’apice, consulta la nostra guida su Record A vs CNAME.

Quanto tempo occorre affinché le modifiche ai record DNS vengano applicate?

Le modifiche al DNS richiedono da pochi minuti fino a 48 ore per essere applicate a livello globale. La velocità di aggiornamento dipende dal Time to Live (TTL) impostato sul record esistente, che specifica per quanto tempo i resolver intermedi possono conservare la risposta prima di richiedere una nuova copia ai server dei nomi autoritativi.