Verifica record CNAME: segui un alias fino alla fine
Un CNAME rende un nome alias di un altro, e nelle catene di CNAME si nascondono gli strani problemi DNS. Inserisci un hostname per seguire i suoi alias fino in fondo, vedere l’indirizzo in cui si risolve alla fine e controllare i due guasti classici: un loop e un alias che punta a un nome che non esiste più.
Come funziona un CNAME
Invece di ripetere un indirizzo IP, un CNAME dice «questo nome è uguale a quell’altro». Un resolver cerca la destinazione e restituisce la sua risposta. Le aziende lo usano per far puntare www o shop a una piattaforma di hosting o a una CDN, così quando il provider cambia server non serve cambiare nulla da parte tua.
Le catene sono consentite: a può puntare a b, e b a c. Ogni passaggio in più costa un lookup, quindi tienile corte. Questo strumento ne segue fino a otto.
Regole che un CNAME deve rispettare
- Un nome con un CNAME non può avere altri tipi di record. Niente MX, niente TXT, niente di niente.
- La radice di un dominio deve contenere i record SOA e NS, quindi non può essere un CNAME. Alcuni provider offrono un ALIAS o il «CNAME flattening» alla radice, che risolve la destinazione dal loro lato e pubblica normali record A.
- La destinazione deve essere un nome host: non un indirizzo IP e non un URL.
- Un CNAME vale per ogni tipo di record, quindi far puntare un nome a una destinazione sposta anche i suoi record di posta e di testo, a meno che questi non si trovino su nomi separati.
CNAME orfani: la falla di sicurezza silenziosa
Supponi che blog.example.com sia un alias di example.hosting-platform.com. Disdici il piano di hosting ma dimentichi il record DNS. L’alias ora punta a un nome che non esiste più e, su alcune piattaforme, chiunque può registrare quel nome e pubblicare i propri contenuti sul tuo sottodominio. Questo è un subdomain takeover, ed è uno dei problemi di sicurezza DNS più comuni.
Fai passare ogni tanto i tuoi sottodomini nella traccia. Una catena che termina con «questo nome non esiste» è quella da eliminare.
Altre cose che la traccia può mostrare
- Un loop: la catena torna a un nome già visitato, quindi il nome non potrà mai essere risolto.
- Una catena lunga: ogni passaggio aggiunge ritardo, e alcuni resolver si arrendono dopo un numero limitato di passaggi.
- Una catena che termina in un indirizzo privato, non raggiungibile da internet. Questi qui vengono nascosti.