Record TXT e verifica del dominio

Modulo 4: Record per la posta elettronica · Tempo di lettura: 7 minuti

Obiettivo della lezione: Dopo questa lezione sarà in grado di creare un record TXT per verificare il Suo dominio presso un servizio, e saprà quando più record TXT possono coesistere e quando no.

Concetti chiave: record TXT, codice di verifica, nome con underscore, virgolette, blocchi di testo da 255 caratteri, SPF/DMARC come record TXT particolari

Un biglietto nel Suo DNS

Un record TXT è il record più semplice che esista: un pezzo di testo associato a un nome. Il DNS stesso non ne fa nulla. È destinato ad altri programmi che vengono a leggere quel testo.

Per questo TXT è il record preferito dai servizi che vogliono sapere se un dominio è davvero Suo. Google Search Console, Microsoft 365, Google Workspace, Facebook, Apple, GitHub, i servizi di newsletter e le piattaforme di e-commerce funzionano tutti così:

1. Il servizio Le fornisce un codice, ad esempio google-site-verification=Ab12Cd34... o MS=ms12345678.
2. Lei inserisce quel codice come record TXT nel DNS del Suo dominio.
3. Il servizio interroga il record TXT del Suo dominio. Se il codice è presente, sa che chi ha potuto inserire questo codice gestisce questo dominio.

Solo chi può modificare il DNS di un dominio può inserire un record di questo tipo. Per questo si tratta di un controllo affidabile.

Come si presenta un record TXT?

example.com.   3600  IN  TXT  "google-site-verification=Ab12Cd34Ef56"
example.com.   3600  IN  TXT  "MS=ms12345678"
example.com.   3600  IN  TXT  "v=spf1 mx include:spf.service.example ~all"

Alcune cose da sapere:

• Virgolette. In un file di zona il testo è racchiuso tra virgolette. Nella maggior parte dei pannelli non deve digitarle: il pannello le inserisce automaticamente. Se le digita comunque, dopo il salvataggio controlli che non siano presenti virgolette doppie.
• Blocchi di 255 caratteri. Un singolo blocco di testo in un record TXT può avere al massimo 255 caratteri (RFC 1035). I testi più lunghi, come una chiave DKIM, vengono suddivisi in più blocchi all'interno dello stesso record: "prima parte" "seconda parte". I programmi che leggono il TXT ricompongono questi blocchi. I buoni pannelli suddividono automaticamente; in alcuni deve farlo Lei stesso.
• Maiuscole e spazi contano. Copi il codice esattamente, preferibilmente con copia e incolla. Uno spazio alla fine o un carattere mancante bastano a far fallire la verifica.

Su quale nome?

Il servizio indica sempre su quale nome deve trovarsi il record:

• Sul dominio stesso. Il servizio indica allora "@", "root", "host vuoto" oppure menziona semplicemente example.com. Nella maggior parte dei pannelli digita @ oppure lascia il campo vuoto.
• Su un nome specifico. Alcuni servizi richiedono un nome separato che inizia con un underscore, come _github-challenge-esempioazienda o _acme-challenge. L'underscore indica che non si tratta di un normale hostname (non può aprirvi un sito web). Nel Suo pannello digiti solo quella prima parte; il Suo nome di dominio viene aggiunto automaticamente.

Un errore comune: inserire il nome completo in un pannello che aggiunge già automaticamente il nome di dominio. Si ottiene così _github-challenge-esempioazienda.example.com.example.com, e il servizio non trova nulla. Dopo il salvataggio, verifichi quale nome completo mostra il pannello.

Più record TXT: è possibile?

Sì. Su un unico nome possono essere presenti tutti i record TXT che desidera. Una verifica per Google e una per Microsoft non si ostacolano a vicenda. Ogni servizio cerca il proprio codice tra tutti i record TXT presenti.

Vi sono due eccezioni, ed sono importanti:

• SPF (inizia con v=spf1): massimo uno per nome. Due record SPF rendono il Suo SPF non valido (lezione 4.3).
• DMARC (su _dmarc, inizia con v=DMARC1): massimo uno. Con due record, il destinatario si comporta come se Lei non avesse DMARC (lezione 4.5).

Se un servizio Le chiede di "aggiungere questo record SPF", non crei quindi un secondo record SPF, ma integri quello esistente.

La verifica può essere rimossa?

Dipende dal servizio. Molti servizi (come Google Search Console e Microsoft 365) effettuano controlli successivi. Se rimuove il record, il Suo dominio potrebbe dopo un certo tempo risultare di nuovo "non verificato". Lo lasci quindi presente, a meno che il servizio non indichi esplicitamente che può essere rimosso. Un vecchio record di verifica di un servizio che non usa più può invece essere eliminato.

Non funziona subito

Ha appena creato il record e il servizio risponde "non trovato"? Di solito è dovuto alla cache (modulo 6). Se il servizio ha già interrogato il Suo dominio prima che il record esistesse, ricorderà per un certo periodo che non vi era nulla. Attenda un quarto d'ora e riprovi. Nel frattempo, verifichi Lei stesso con uno strumento online di interrogazione DNS se il record è presente (lezioni 8.2 e 8.3).

Nella pratica: come si presenta in un pannello

In questo esempio utilizziamo Mio WebOké. Vada al dominio, scheda DNS, e clicchi su Aggiungi Record. Scelga il tipo TXT, inserisca in Hostname @ (oppure il nome indicato dal servizio) e incolli il codice nel valore. Non deve digitare le virgolette. In DirectAdmin funziona allo stesso modo in Amministrazione DNS; qui lasci Tipo di record TXT su Semplice.

In altri pannelli i campi a volte si chiamano Host, Hostname o Name e Value, Content o Data, ma il principio è lo stesso.

Riepilogo

• Un record TXT è un testo associato a un nome. I servizi lo utilizzano per verificare che un dominio sia Suo.
• Copi il codice esattamente e lo inserisca sul nome indicato dal servizio (spesso @, a volte un nome con underscore).
• Più record TXT su un unico nome sono ammessi, tranne per SPF e DMARC: di questi ne è ammesso al massimo uno.
• Se la verifica non riesce subito, attenda un momento: la risposta potrebbe ancora trovarsi in una cache.

Quiz

Esercizio

Esercizio Z4.2: Ricerca del codice di verifica. Cerchi i record TXT di wikipedia.org. Vi si trova tra l'altro un codice di verifica di Google. Incolli il testo completo di verifica che inizia con google-site-verification=.

Esercizio O4.2: Configurazione nella Sua zona di esercitazione. Nella zona di esercitazione utilizza un servizio fittizio; con il Suo dominio reale utilizzerà naturalmente il codice reale fornito dal servizio. Riceverà per l'esercizio un codice personale <il Suo codice> (che ha la forma oefen-<code>-<letters>). Crei nella Sua zona di esercitazione <code>.dnspractice.eu due record TXT:

1. sul nome della zona stessa (@): dnscursus-verificatie=<il Suo codice>
2. sul nome _cursus-challenge: solo <il Suo codice>

Per saperne di più

I passaggi descritti in questi articoli valgono per i pannelli di WebOké; in altri pannelli il funzionamento è simile.

• Guida DirectAdmin 5.6: Record TXT per la verifica (Google, Microsoft e altri)
• Gestione dei record DNS in Mio WebOké (con esempi per CNAME, TXT e servizi esterni)
• Guida WebOké 5.4: Gestione del DNS: aggiungere, modificare ed eliminare record
• RFC 1035 paragrafo 3.3.14 (TXT), RFC 7208 paragrafo 3.3 (testi SPF lunghi suddivisi in più blocchi)