Checklist per il proprio dominio

Modulo 8: Sicurezza e risoluzione dei problemi · Tempo di lettura: 10 minuti

Obiettivo della lezione: Dopo questa lezione sarà in grado di controllare il proprio dominio dall'alto verso il basso con una checklist fissa, e saprà da quale punto partire se il sito web o la posta non funzionano.

Concetti chiave: registrazione, nameserver, A/AAAA, www, certificato, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, backup

Perché dall'alto verso il basso?

Il DNS è una catena: senza registrazione non ci sono nameserver, senza nameserver funzionanti non ci sono record, senza record A non c'è sito web. Un errore in cima causa ogni sorta di problema più in basso. Per questo deve sempre percorrere l'elenco in questo ordine e fermarsi al primo punto che non è corretto. Risolva prima quello, e poi ricominci dall'inizio.

Nell'elenco compare example.com: lo sostituisca con il proprio dominio. Per ogni punto è indicato un comando dig; può usare anche un dig online (lezione 8.3). Un controllo dello stato di salute del dominio, come quello del Suo fornitore di hosting o il gratuito Salute del dominio, esegue gran parte di questo elenco in un'unica volta, ma è utile sapere cosa c'è dietro.

Parte A: le fondamenta

1. Il dominio è registrato e attivo?

• Come: una ricerca whois o RDAP (per esempio tramite il sito del registro, come sidn.nl per .nl), oppure whois example.com.
• Corretto: stato attivo (per .nl: "active"), non "in quarantena", non scaduto. L'assegnatario del dominio corrisponde.

2. Quali nameserver ha il dominio, e sono almeno due?

• Come: dig +short NS example.com, e per ciò che il registro comunica dig +trace example.com.
• Corretto: almeno due nameserver, del fornitore presso cui gestisce il Suo DNS.

3. Tutti i nameserver rispondono, e danno la stessa risposta?

• Come: dig +short SOA example.com @<nameserver> per ogni nameserver.
• Corretto: ogni nameserver risponde (nessun timeout, nessun REFUSED) e il numero di serie (terzo campo del SOA) è uguale ovunque. Un nameserver che non risponde per il Suo dominio si definisce lame.

4. Il DNSSEC è corretto (se attivo)?

• Come: dig +short DS example.com e dig example.com A @1.1.1.1 (osservi lo stato e il flag ad); in caso di dubbio DNSViz.
• Corretto: o nessun DS (DNSSEC disattivato, funziona comunque), oppure un DS con stato NOERROR e il flag ad. Errato: SERVFAIL.

Parte B: il sito web

5. Il nome a dominio punta al server giusto?

• Come: dig +short A example.com e dig +short AAAA example.com.
• Corretto: l'indirizzo IPv4 (e, se ne ha uno, l'indirizzo IPv6) del server su cui si trova il Suo sito web. Nessun vecchio AAAA di un server precedente.

6. www funziona?

• Come: dig +short A www.example.com (oppure CNAME).
• Corretto: un record A, un record AAAA o un CNAME che punta allo stesso sito. Se www manca, chi digita www riceve un messaggio di errore.

7. Il sito ha un certificato valido per entrambi i nomi?

• Come: apra https://example.com e https://www.example.com e clicchi sul lucchetto, oppure utilizzi il test del sito di internet.nl.
• Corretto: nessun avviso, il certificato è valido per almeno ancora qualche settimana ed è valido per entrambi i nomi.

8. Il Suo emittente di certificati può creare certificati (CAA)?

• Come: dig +short CAA example.com.
• Corretto: nessun record CAA (chiunque può farlo), oppure un record CAA con issue per il fornitore che emette il Suo certificato. Errato: un CAA che non menziona il Suo emittente.

Parte C: la posta elettronica

9. Dove arriva la Sua posta?

• Come: dig +short MX example.com, e poi dig +short A <mailserver> per il primo nome.
• Corretto: i record MX del Suo attuale fornitore di posta, e nessun MX residuo di un vecchio fornitore. Ogni nome di server di posta ha un record A o AAAA. Se non usa il dominio per la posta, un null MX (0 .) può chiarire che non arriva posta.

10. C'è esattamente un record SPF corretto?

• Come: dig +short TXT example.com e osservi le righe che iniziano con v=spf1; un controllo email conta le ricerche.
• Corretto: esattamente un record SPF, con tutti i servizi che inviano posta a nome del Suo dominio, che termina con ~all o -all (mai +all), e non più di dieci ricerche DNS.

11. Il DKIM è configurato per ogni servizio che invia posta?

• Come: dig +short TXT <selector>._domainkey.example.com (oppure CNAME) per ogni selettore conosciuto, come quello del Suo fornitore di posta e del Suo servizio di newsletter. Il selettore si trova nelle istruzioni del servizio o nell'intestazione DKIM-Signature: ... s=<selector> di un'email inviata.
• Corretto: ogni record fornisce una chiave (v=DKIM1; ... p=...) o un CNAME verso il servizio, e un'email di prova mostra DKIM PASS.

12. C'è un record DMARC?

• Come: dig +short TXT _dmarc.example.com.
• Corretto: esattamente un record che inizia con v=DMARC1 e ha una policy valida (p=none, p=quarantine o p=reject). Iniziato con p=none? Pianifichi allora un inasprimento.

13. Un'email reale arriva correttamente?

• Come: invii un'email a mail-tester.com o a un indirizzo Gmail e visualizzi "Mostra originale".
• Corretto: SPF, DKIM e DMARC con esito PASS.

Parte D: manutenzione

14. I TTL sono impostati in modo sensato?

• Come: dig example.com A @<il Suo nameserver> e osservi il TTL.
• Corretto: normalmente tra 3600 e 86400 (da un'ora a un giorno). Solo intorno a una modifica pianificata, temporaneamente 300. Dimenticarsi di riportarlo al valore originale dopo un trasloco non è grave, ma genera traffico inutile.

15. Ha un backup della Sua zona?

• Come: il pulsante di backup o esportazione del Suo pannello DNS, oppure dig per ogni record se non ne dispone.
• Corretto: una copia recente di tutti i record, conservata al di fuori del pannello.

16. Non ci sono record dimenticati?

• Come: esamini tutti i record nel Suo pannello.
• Corretto: nessun record di verifica o sottodominio di servizi che non usa più. Un CNAME verso un servizio disattivato può essere "rilevato" da qualcun altro (subdomain takeover): lo elimini.

Da dove partire in caso di reclamo?

Nella pratica: come si presenta in un pannello

Un controllo dello stato di salute del dominio esegue gran parte di questo elenco automaticamente. In Mio WebOké si trova nella pagina del dominio come scheda Dominio / Email salute, con verde, arancione e rosso per ogni punto; la versione pubblica funziona per qualsiasi dominio. Altri fornitori di hosting, registrar e fornitori DNS dispongono di controlli simili, e internet.nl verifica in modo indipendente gran parte delle parti B e C. Utilizzi un controllo di questo tipo come punto di partenza e questo elenco per capire cosa risulta rosso.

Riepilogo

• Percorra l'elenco dall'alto verso il basso e si fermi al primo punto che non è corretto.
• Fondamenta: registrazione, nameserver, risposte uguali, DNSSEC.
• Sito web: A/AAAA, www, certificato, CAA.
• Posta: MX con indirizzo, un solo SPF, DKIM per servizio, un solo DMARC, email di prova.
• Manutenzione: TTL, backup, pulizia.

Quiz

Esercizio

Esercizio Z8.5: Esercizio finale: il Suo dominio. Controlli il Suo dominio con questa checklist. Inserisca il Suo nome a dominio nell'ambiente del corso e risponda per ogni punto delle parti A, B e C su ciò che ha trovato (per esempio i Suoi nameserver, il Suo MX, il Suo record SPF e la Sua policy DMARC). Il programma esegue gli stessi controlli e confronta i risultati. Se qualcosa nel Suo dominio non è corretto, riceverà una spiegazione con un rimando alla lezione. Se non ha un proprio dominio, utilizzi sidn.nl.

Per saperne di più

Questi articoli descrivono i controlli presso WebOké; la checklist funziona per qualsiasi dominio.

• Guida WebOké 5.17: Salute del dominio e dell'e-mail: verificare e risolvere
• Il sito web o l'indirizzo e-mail non funziona dopo un trasloco o una modifica DNS: verifichi il Suo dominio
• Guida WebOké 5.7: Ripristinare il DNS e creare un backup del DNS
• Creare e ripristinare un backup del DNS
• Strumento gratuito Salute del dominio: https://www.weboke.it/salute-del-dominio
• Email check gratuito: https://www.weboke.it/verifica-email