La salute tecnica del Suo dominio

Modulo 7: Mantenere i domini sicuri e in salute · Tempo di lettura: 8 minuti

Obiettivo della lezione: Dopo questa lezione sarà in grado di verificare se i nameserver, il DNSSEC e il puntamento del Suo dominio sono in ordine, e saprà come tenerli sotto controllo nel tempo.

Concetti chiave: nameserver presso il registry, zona, nameserver scaduti, catena DNSSEC, nome senza www e www, Salute del dominio, monitoraggio

Registrato correttamente non significa ancora in salute

Nei moduli precedenti si è parlato della registrazione: chi è l'assegnatario, se il nome viene rinnovato, se è sicuro. Ma un dominio registrato e pagato correttamente può comunque non funzionare. In quel caso il problema sta nella parte tecnica che lo circonda.

Questa lezione passa in rassegna i quattro punti che riguardano il nome stesso: i nameserver presso il registry, i nameserver stessi, il DNSSEC e il puntamento al Suo sito web. Il corso DNS approfondisce molto di più questi temi. Qui vedrà soprattutto che cosa deve controllare in qualità di assegnatario e dove può approfondire.

Nameserver presso il registry e la zona

Presso il registry, il Suo dominio ha un elenco di nameserver. È l'indirizzo a cui il resto di internet si rivolge per richiedere i Suoi record. Su quei nameserver si trova la zona: i record veri e propri, come il record A del Suo sito web e il record MX della Sua posta.

Le due cose devono corrispondere. Se presso il registry risultano i nameserver del fornitore A, ma Lei ha inserito i Suoi record presso il fornitore B, nessuno vedrà quei record. Succede spesso dopo un trasferimento o dopo la disdetta di un pacchetto di hosting. Come modificare i nameserver è spiegato nel corso DNS, lezione 2.3: https://www.weboke.it/dns-cursus/nameservers-wijzigen-en-glue-records

Due regole valgono quasi ovunque: servono almeno due nameserver, e tutti devono rispondere per il Suo dominio. Un nameserver che non risponde (più) rende il Suo dominio lento o irraggiungibile.

Anche i nameserver sono nomi di dominio

Un nameserver si chiama ad esempio ns1.provider.example. Anche questo è un nome sotto un dominio, con un proprio assegnatario e una propria data di scadenza. Se il fornitore dietro quei nameserver cessa l'attività, o se scade il dominio a cui appartengono, smette di funzionare anche il Suo dominio. Nel caso peggiore qualcun altro registra quel dominio e decide così quali risposte fornisce il Suo dominio.

Per questo controlli di tanto in tanto:

• se i Suoi nameserver appartengono a un fornitore di cui è ancora cliente;
• se, dopo la disdetta di un pacchetto o di un servizio, non utilizza più nameserver di quel vecchio fornitore;
• se i Suoi nameserver (qualora ne abbia di propri) appartengono a un dominio che Lei stesso tiene ben sotto controllo.

Il DNSSEC in breve

Con il DNSSEC le risposte dei Suoi nameserver vengono firmate. Il Suo registrar inserisce un DS-record presso il registry: un'impronta digitale della Sua chiave. In questo modo chiunque può verificare se una risposta proviene davvero dai Suoi nameserver. Questo si chiama catena: il registry punta alla Sua chiave, e la Sua chiave firma i Suoi record.

Quella catena deve essere corretta. Se il DS-record presso il registry non corrisponde più alle chiavi sui Suoi nameserver, i resolver che verificano il DNSSEC rifiutano le Sue risposte. Per gran parte dei Suoi visitatori il dominio smette allora del tutto di funzionare. Succede soprattutto dopo un trasferimento del dominio o del DNS (lezione 6.2) e in occasione di un cambio di chiave. Una catena interrotta è quindi peggio che non avere affatto il DNSSEC.

Come funziona esattamente la catena e come verificarla è spiegato nel corso DNS, lezione 8.1: https://www.weboke.it/dns-cursus/dnssec-in-gewone-taal

Il nome senza www e il www

L'ultimo punto è il più visibile: un visitatore raggiunge il Suo sito web sia tramite il nome senza www sia tramite www? Entrambi hanno bisogno di un proprio record. Se ne manca uno, il sito non funziona per una parte dei visitatori, anche se tutto il resto è in ordine. Nel corso DNS trova come configurarlo correttamente.

Controllare una volta o monitorare costantemente

Può verificare tutto questo da solo con strumenti online. Quale strumento usare per quale domanda è spiegato nel corso DNS, lezione 8.3: https://www.weboke.it/dns-cursus/online-dns-tools

Se desidera controllare l'intero dominio dall'alto in basso, posta compresa, utilizzi la checklist della lezione 8.5: https://www.weboke.it/dns-cursus/checklist-voor-je-eigen-domein

Controllare una volta è utile, ma i problemi nascono proprio dopo: un servizio disdetto, un cambio di chiave dimenticato, un nameserver che smette di funzionare. Per questo faccia anche monitorare il Suo dominio. Un servizio di monitoraggio verifica regolarmente se il Suo dominio e il Suo sito web funzionano e La avvisa quando qualcosa cambia.

In pratica: come funziona da WebOké

Nella pagina del dominio in Mio WebOké si trova la scheda Salute del dominio / e-mail. Per ogni controllo vede un pallino verde, arancione o rosso, con una spiegazione e, dove possibile, un pulsante per risolvere il problema. Per qualsiasi dominio, anche se non è registrato presso WebOké, può eseguire lo stesso controllo senza account su https://www.weboke.it/domein-gezondheid. Presso altri registrar e in singoli strumenti online trova controlli simili.

Riepilogo

• I nameserver presso il registry devono puntare al luogo in cui si trova davvero la Sua zona, e devono rispondere tutti.
• Anche i nameserver sono nomi di dominio: se quel fornitore cessa l'attività o quel dominio scade, smette di funzionare anche il Suo dominio.
• Una catena DNSSEC interrotta è peggio che non avere il DNSSEC; presti particolare attenzione dopo un trasferimento.
• Sia il nome senza www sia il www devono portare al Suo sito web.
• Controllare una volta non basta: faccia monitorare il Suo dominio.

Quiz

Esercizio

Esercizio A7.3: Salute del dominio. Inserisca il Suo nome di dominio. I nomi di esempio come example.com vengono rifiutati. Il programma esegue gli stessi controlli di Salute del dominio, per quattro elementi: i nameserver, il DNSSEC, il record A del nome senza www e il www.

Il rosso indica un errore da risolvere, ad esempio un nameserver che non risponde o una catena DNSSEC non corretta. L'arancione è un avviso o un consiglio. Il verde significa che è tutto in ordine. Ha superato l'esercizio quando non c'è più nessun rosso. Se ottiene un rosso, legga la spiegazione accanto, risolva il problema presso il fornitore che gestisce il Suo DNS e riprovi.

Per approfondire

• Guida WebOké 5.17: Salute del dominio e dell'e-mail: verificare e risolvere
• Guida WebOké 14.1: Salute del dominio (anche senza account)
• Il sito web o l'e-mail non funzionano dopo un trasferimento o una modifica DNS: controlli il Suo dominio
• Far monitorare il Suo sito web: raggiungibilità, certificato e dominio
• Corso gratuito DNS 8.1: DNSSEC in parole semplici