Проверка CNAME записи: куда ведёт псевдоним

Как работает CNAME

Вместо того чтобы повторять IP-адрес, CNAME говорит: «это имя совпадает с тем». Резолвер ищет целевое имя и возвращает его ответ. Компании используют это, чтобы направить www или shop на хостинг-платформу или CDN: когда провайдер меняет серверы, на вашей стороне менять ничего не нужно.

Цепочки допустимы: a может указывать на b, а b — на c. Каждый лишний переход стоит одного запроса, поэтому делайте их короткими. Этот инструмент проходит до восьми.

Правила, которым должен следовать CNAME

• У имени с CNAME не может быть записей другого типа. Ни MX, ни TXT, ничего.
• В корне домена должны быть записи SOA и NS, поэтому он не может быть CNAME. Некоторые провайдеры предлагают ALIAS или «CNAME flattening» в корне: целевое имя разрешается на их стороне, а публикуются обычные записи A.
• Целью должно быть имя хоста: не IP-адрес и не URL.
• CNAME действует на все типы записей, поэтому перенаправление имени на цель переносит и его почтовые, и текстовые записи, если только они не находятся под отдельными именами.

«Висячие» CNAME: тихая дыра в безопасности

Допустим, blog.example.com — псевдоним для example.hosting-platform.com. Вы отменяете хостинг-тариф, но забываете про запись DNS. Теперь псевдоним указывает на имя, которого больше нет, а на некоторых платформах любой желающий может зарегистрировать это имя и размещать собственный контент на вашем поддомене. Это захват поддомена (subdomain takeover), и это одна из самых частых находок в области безопасности DNS.

Время от времени прогоняйте свои поддомены через трассировку. Цепочку, которая заканчивается на «это имя не существует», нужно удалить.

Что ещё может показать трассировка

• Петля: цепочка возвращается к имени, которое уже посещала, поэтому имя никогда не разрешится.
• Длинная цепочка: каждый переход добавляет задержку, а некоторые резолверы сдаются после определённого числа переходов.
• Цепочка, заканчивающаяся частным адресом, недоступным из интернета. Такие адреса здесь скрываются.