Che cosa significano le verifiche
Name server
Il registro dell'estensione pubblica l'elenco dei name server che rispondono per il dominio: è la delega. Anche la zona elenca i propri name server. Le due liste dovrebbero coincidere, ogni server dovrebbe rispondere e tutti dovrebbero servire la stessa versione della zona, indicata dal numero di serie del suo record SOA.
Sito web ed e-mail
I record A e AAAA danno gli indirizzi IPv4 e IPv6 del nome. I record MX indicano i server che ricevono le sue e-mail. SPF elenca i server autorizzati a inviare e-mail per il nome, e DMARC dice ai server destinatari che cosa fare delle e-mail che non superano né il controllo SPF né il controllo DKIM del nome.
Sicurezza
DNSSEC firma la zona perché i resolver possano riconoscere le risposte falsificate: il registro pubblica un record DS, che deve corrispondere a una chiave (DNSKEY) pubblicata nella zona. I record CAA indicano quali autorità di certificazione possono emettere certificati per il nome.
OK, Attenzione, Assente
OK significa che la verifica ha trovato ciò che cerca. Attenzione significa che qualcosa merita un controllo, e la spiegazione dice che cosa. Assente significa che la verifica non ha trovato nulla: il record non esiste, oppure nessun name server ha risposto. Per alcuni record, come CAA, un record assente è una scelta e non un errore.
Verifica della zona DNS: domande frequenti
La verifica della zona DNS è gratuita?
Sì, e senza account. Ogni connessione può fare 10 nuove verifiche ogni 10 minuti. Un nome verificato di nuovo entro 5 minuti arriva dalla nostra cache e non conta.
Quale nome viene verificato quando scrivo un indirizzo web?
Il nome di dominio stesso: https://www.example.com/page diventa example.com, e un indirizzo e-mail diventa il suo dominio. I nomi internazionalizzati si possono scrivere in Unicode o in Punycode. La verifica funziona per qualsiasi nome di dominio, ovunque sia registrato.
Perché il registro e la zona elencano name server diversi?
Di solito perché i name server sono stati cambiati da una parte sola: presso il registrar, che aggiorna il registro, oppure nella zona, presso il fornitore DNS. I resolver partono dall'elenco del registro, quindi una differenza può mandarne alcuni verso un server che non ha più la zona, o che ne ha solo una copia vecchia.
Che cosa significa un numero di serie SOA diverso?
Il numero di serie aumenta a ogni modifica della zona, e i server secondari copiano la zona quando vedono un numero di serie più alto. Numeri di serie diversi significano che alcuni server servono ancora una versione precedente: per qualche minuto dopo una modifica, o più a lungo se la copia non riesce. Ripeti la verifica un po' più tardi; se i numeri di serie sono ancora diversi, contatta il tuo fornitore DNS. Quando la zona è servita da due provider DNS indipendenti, ciascuno numera la propria copia separatamente: in questo caso lo strumento non confronta i loro numeri di serie.
Lo strumento verifica le firme DNSSEC?
No. Legge il record DS presso il registro e le chiavi nella zona, e controlla che una chiave corrisponda al record DS. Una chiave corrispondente non dimostra che le firme siano valide. Una chiave mancante o diversa, invece, impedisce la risoluzione del nome ai resolver che convalidano DNSSEC.
La mia e-mail funziona: perché lo strumento dice che SPF o DMARC è assente?
Le e-mail possono essere consegnate anche senza. SPF e DMARC permettono ai server destinatari di distinguere i tuoi messaggi dai messaggi falsificati che usano il tuo nome di dominio, e senza di essi i destinatari non hanno da te alcuna istruzione su questi messaggi.
