DNS e nameserver sono tra gli elementi più importanti dell’infrastruttura di un dominio, ma anche tra quelli più facilmente confusi. Quando digiti un indirizzo nel browser non stai contattando direttamente il server web: prima deve avvenire una risoluzione DNS che consente di individuare dove si trova il servizio richiesto.

Capire la differenza tra dominio, zona DNS, nameserver autorevoli, resolver, record A, CNAME, MX e TTL è particolarmente utile quando cambi hosting, configuri la posta elettronica, colleghi un CDN oppure devi diagnosticare un sito che non risponde come previsto.

Questa guida parte dai concetti fondamentali e arriva fino a DNSSEC, autenticazione email, record HTTPS/SVCB e troubleshooting pratico.

DNS, nameserver e resolver: non sono la stessa cosa

Che cos’è il DNS?

DNS significa Domain Name System. È il sistema gerarchico e distribuito che associa ai nomi informazioni necessarie per raggiungere servizi Internet.

Il caso più conosciuto è la conversione di un hostname come www.example.com in un indirizzo IP, ma il DNS contiene molte altre informazioni: server di posta, nameserver autorevoli, verifiche di proprietà, politiche email, autorizzazioni per certificati TLS e dati necessari ad altri protocolli.

Che cos’è un nameserver autorevole?

Un nameserver autorevole conserva e serve i dati di una o più zone DNS. Quando viene interrogato per un nome appartenente a una zona di cui è autorità, può rispondere utilizzando i dati della zona stessa.

Quando nel pannello del registrar imposti nameserver come ns1.example.net e ns2.example.net, stai indicando alla gerarchia DNS quali server sono autorevoli per il dominio.

Che cos’è un resolver ricorsivo?

Il resolver ricorsivo svolge un ruolo diverso. È il sistema che riceve la richiesta dal computer o dal dispositivo dell’utente, consulta la gerarchia DNS quando necessario e conserva temporaneamente le risposte in cache.

Il resolver può essere quello dell’operatore Internet, di una rete aziendale oppure un resolver pubblico. Non va confuso con i nameserver autorevoli del dominio.

Come avviene realmente una risoluzione DNS

Se il resolver non possiede già una risposta valida nella propria cache, la risoluzione segue la gerarchia DNS.

1. Il resolver parte dai server root.
2. La root indica i nameserver del dominio di primo livello, per esempio quelli responsabili di .com o .it.
3. Il registro del TLD restituisce la delega verso i nameserver autorevoli del dominio.
4. Il resolver interroga uno dei nameserver autorevoli.
5. Il server autorevole restituisce il record richiesto oppure un’altra indicazione prevista dalla configurazione DNS.
6. Il resolver conserva la risposta in cache rispettandone il TTL.

In pratica, il browser non deve effettuare ogni volta l’intera catena. Le cache riducono drasticamente il numero di query necessarie e accelerano le richieste successive.

Zona DNS e delega sono due livelli diversi

La delega indica quali nameserver sono responsabili del dominio. La zona DNS contiene invece i record serviti da quei nameserver.

È quindi possibile avere una zona DNS perfettamente configurata su un provider ma non utilizzarla realmente perché il registrar delega ancora il dominio verso altri nameserver.

Nameserver: cosa succede quando li cambi

Cambiare nameserver significa modificare la delega del dominio. È un’operazione più ampia rispetto alla semplice modifica di un record A.

Se passi da un provider DNS a un altro, devi assicurarti che la nuova zona contenga tutti i record necessari prima di modificare la delega: sito, sottodomini, posta, SPF, DKIM, DMARC, verifiche TXT, CAA ed eventuali servizi esterni.

Perché un cambio nameserver può interrompere la posta?

Un errore frequente consiste nel copiare soltanto il record che serve il sito web. Dopo il cambio il sito funziona, ma i record MX o TXT necessari alla posta non esistono più nella nuova zona.

La conseguenza può essere la mancata consegna dei messaggi o il fallimento dei controlli SPF, DKIM e DMARC.

Che cosa sono i glue record?

I glue record diventano importanti quando il nameserver si trova all’interno dello stesso dominio che deve servire. Per esempio, se example.com utilizza ns1.example.com, serve un meccanismo per conoscere l’IP di ns1.example.com senza creare un riferimento circolare.

In questi casi il registro può pubblicare indirizzi A o AAAA associati al nameserver come informazioni di glue.

I record DNS più importanti

Record	Funzione principale	Esempio d’uso
A	Associa un nome a un IPv4	Sito web o servizio IPv4
AAAA	Associa un nome a un IPv6	Sito o servizio IPv6
CNAME	Crea un alias DNS	www verso un hostname canonico
MX	Indica i server di posta	Ricezione email del dominio
TXT	Pubblica dati testuali	SPF, verifiche, DKIM, DMARC
NS	Indica nameserver autorevoli	Delega di una zona
SOA	Descrive parametri della zona	Seriale e parametri autoritativi
CAA	Autorizza CA per i certificati	Controllo emissione TLS
SRV	Localizza un servizio	VoIP, directory e servizi applicativi
PTR	Risoluzione inversa	IP verso hostname

Record A

Il record A associa un nome a un indirizzo IPv4.

example.com. 3600 IN A 192.0.2.10

Un hostname può avere più record A. In quel caso il resolver può ricevere più indirizzi.

Record AAAA

AAAA svolge la stessa funzione del record A ma contiene un indirizzo IPv6 a 128 bit.

example.com. 3600 IN AAAA 2001:db8::10

Se un servizio supporta sia IPv4 sia IPv6 può pubblicare contemporaneamente record A e AAAA.

Record CNAME

Il CNAME identifica un nome come alias di un altro hostname.

www.example.com. 3600 IN CNAME example.net.

Un CNAME non è un redirect HTTP. Il browser continua a utilizzare l’URL originale; è la risoluzione DNS che segue il nome canonico.

Inoltre un nome che possiede un CNAME normalmente non può contenere contemporaneamente altri tipi di record. È uno dei motivi per cui il dominio radice della zona non può normalmente essere configurato come un semplice CNAME: all’apice esistono necessariamente record SOA e NS.

Alcuni provider offrono funzioni chiamate ALIAS, ANAME o CNAME flattening per ottenere comportamenti simili all’apice. Sono implementazioni del provider e non vanno confuse con un normale record CNAME standard.

Record MX

I record MX indicano quali server devono ricevere la posta per il dominio.

example.com. 3600 IN MX 10 mx1.example.net.
example.com. 3600 IN MX 20 mx2.example.net.

Il numero rappresenta la preferenza: a parità di altre condizioni, un valore numerico inferiore ha priorità superiore.

Il target di un MX è un hostname, non un indirizzo IP inserito direttamente nel campo destinazione.

Record TXT

TXT può contenere stringhe utilizzate da numerosi protocolli e sistemi di verifica. Oggi viene usato molto spesso per l’autenticazione email e per dimostrare il controllo di un dominio.

Due esempi comuni sono SPF e le chiavi DKIM. Anche DMARC utilizza dati DNS pubblicati in TXT.

Record NS e SOA

NS identifica un nameserver autorevole. SOA, Start of Authority, contiene invece informazioni fondamentali sulla zona, come il nameserver primario, il seriale e vari parametri utilizzati dai server DNS.

È importante distinguere i record NS presenti all’interno della zona dalla delega configurata nella zona padre: affinché Internet utilizzi i nameserver corretti, la delega deve essere coerente.

Record CAA

CAA consente al titolare del dominio di indicare quali Certification Authority sono autorizzate a emettere certificati per quel nome.

È un controllo aggiuntivo contro emissioni non desiderate, ma va configurato con attenzione per non impedire il rilascio o il rinnovo dei certificati legittimi.

SRV e PTR

SRV permette di pubblicare hostname e porta di un determinato servizio ed è utilizzato da diversi protocolli applicativi.

PTR viene invece usato per la risoluzione inversa, cioè per associare un indirizzo IP a un hostname. Per gli IPv4 la zona reverse utilizza normalmente lo spazio in-addr.arpa; per IPv6 viene utilizzato ip6.arpa.

Il reverse DNS di un IP è normalmente amministrato da chi controlla l’indirizzo IP, non dal semplice titolare del dominio.

Record SVCB e HTTPS

Il DNS moderno comprende anche SVCB e HTTPS. Questi record possono fornire ai client informazioni aggiuntive per raggiungere un servizio, inclusi endpoint alternativi e parametri utili alla negoziazione della connessione.

Il record HTTPS è una variante di SVCB specifica per servizi HTTP/HTTPS. Non tutti gli utenti devono configurarlo manualmente: CDN, piattaforme edge e provider possono gestirlo automaticamente.

TTL e propagazione DNS: cosa succede davvero

Il TTL non è un timer globale di propagazione

TTL significa Time To Live ed esprime, in secondi, per quanto tempo un resolver può conservare nella propria cache una determinata risposta prima di dover tornare alla fonte autorevole.

Un TTL di 3600 equivale a un’ora. Questo però non significa che qualsiasi modifica sarà visibile a tutti dopo esattamente un’ora.

Resolver diversi possono aver memorizzato il record in momenti differenti. Inoltre un cambio nameserver coinvolge anche la delega e può essere soggetto a cache diverse da quelle del singolo record A.

Esiste anche la cache delle risposte negative

Anche una risposta come “questo nome non esiste” può essere memorizzata. È il cosiddetto negative caching.

Per esempio, se interroghi shop.example.com prima che il record venga creato e il resolver riceve NXDOMAIN, quella risposta negativa può restare valida in cache per un determinato periodo.

Questo spiega perché in alcuni casi un record appena aggiunto può non apparire immediatamente anche se non era mai esistito prima.

Conviene abbassare il TTL prima di una migrazione?

Può essere utile abbassare il TTL con sufficiente anticipo prima di modificare un record importante. In questo modo le vecchie risposte positive possono scadere più rapidamente.

Non è però una garanzia di aggiornamento istantaneo e non sostituisce una corretta pianificazione della migrazione.

DNS e posta elettronica: MX, SPF, DKIM e DMARC

La posta dipende fortemente dal DNS. Un sito può funzionare perfettamente anche quando l’infrastruttura email è configurata male.

SPF

SPF consente al dominio di pubblicare quali sistemi sono autorizzati a inviare email per determinate identità SMTP. SPF viene pubblicato tramite un record TXT.

È importante non creare più record SPF indipendenti per lo stesso nome: le autorizzazioni devono essere consolidate correttamente in un’unica policy SPF.

DKIM

DKIM permette al server mittente di firmare crittograficamente il messaggio. La chiave pubblica necessaria alla verifica viene pubblicata nel DNS sotto un nome che comprende un selector e _domainkey.

Il semplice fatto che esista un record DKIM non garantisce che tutti i messaggi vengano firmati: dipende anche dalla configurazione del sistema di posta.

DMARC

DMARC coordina SPF e DKIM con il dominio visibile nel campo From e permette al titolare di pubblicare indicazioni su come gestire i messaggi che non superano i controlli previsti.

La policy viene normalmente pubblicata sotto _dmarc.example.com tramite TXT.

Una migrazione DNS che dimentica SPF, DKIM o DMARC può quindi influire sulla consegna della posta anche se gli MX sono stati copiati correttamente.

DNSSEC: che cosa protegge e che cosa non protegge

DNSSEC aggiunge firme crittografiche ai dati DNS e permette a un resolver validante di verificare autenticità e integrità delle informazioni ricevute.

Serve a contrastare la falsificazione dei dati DNS lungo la catena di risoluzione quando la catena di fiducia è correttamente configurata.

DNSSEC non cifra le query DNS. Non fornisce confidenzialità e non sostituisce protocolli di trasporto cifrati come DNS over HTTPS o DNS over TLS.

Perché bisogna coordinare DNSSEC durante un cambio nameserver?

Una configurazione DS non coerente con le chiavi della nuova zona può provocare errori di validazione e rendere il dominio apparentemente irraggiungibile per i resolver che verificano DNSSEC.

Per questo una migrazione di un dominio firmato richiede una procedura specifica e non dovrebbe essere eseguita semplicemente sostituendo i nameserver senza verificare la catena DNSSEC.

Cambiare hosting senza cambiare nameserver

Cambiare hosting e cambiare nameserver sono due operazioni differenti.

Scenario 1: mantieni lo stesso provider DNS

Se il DNS è gestito da un servizio indipendente dal vecchio hosting, puoi spesso lasciare invariati i nameserver e modificare soltanto i record necessari.

Per esempio puoi aggiornare il record A del sito verso il nuovo server mantenendo invariati MX, TXT e altri servizi.

Questo approccio riduce il numero di variabili coinvolte nella migrazione.

Scenario 2: cambi anche provider DNS

Se i nameserver appartengono al vecchio hosting e vuoi abbandonarlo completamente, devi prima ricostruire la zona DNS sul nuovo servizio.

Solo dopo aver controllato tutti i record conviene modificare la delega presso il registrar.

Procedura sicura per cambiare nameserver

1. Esporta o documenta la zona attuale. Registra A, AAAA, CNAME, MX, TXT, CAA, SRV e tutti i sottodomini.
2. Ricrea la zona sul nuovo provider. Non limitarti al solo sito web.
3. Controlla posta e verifiche TXT. SPF, DKIM e DMARC sono tra i record dimenticati più spesso.
4. Verifica eventuale DNSSEC. DS e chiavi devono essere coordinati con il nuovo servizio.
5. Controlla i nameserver nuovi. Devono rispondere autorevolmente prima del cambio.
6. Modifica la delega presso il registrar.
7. Non disattivare immediatamente il vecchio DNS. Mantienilo disponibile durante la fase di transizione, quando possibile.
8. Verifica da più resolver. Controlla sito, posta e sottodomini.

Troubleshooting DNS con dig

Su Linux e macOS uno degli strumenti più utili è dig. Permette di interrogare resolver o nameserver specifici e vedere esattamente quali dati vengono restituiti.

Controllare la delega NS

dig NS example.com

Controllare un record A e AAAA

dig A example.com
dig AAAA example.com

Interrogare direttamente un nameserver autorevole

dig @ns1.example.net example.com A

Questo è particolarmente utile perché evita di confondere il contenuto della zona autorevole con una vecchia risposta presente nella cache del resolver locale.

Controllare posta e TXT

dig MX example.com
dig TXT example.com
dig TXT _dmarc.example.com

Seguire la catena di delega

dig +trace example.com

+trace aiuta a osservare il percorso dalla root verso il TLD e poi verso i nameserver del dominio. Non rappresenta però lo stato di tutte le cache DNS esistenti nel mondo.

Errori DNS comuni

• Modificare la zona di un provider che non è più autorevole per il dominio.
• Cambiare nameserver senza copiare MX e TXT.
• Confondere un CNAME con un redirect del browser.
• Inserire un indirizzo IP come destinazione MX.
• Creare due record SPF separati invece di una policy coerente.
• Eliminare accidentalmente record DKIM o DMARC durante una migrazione.
• Usare un CNAME dove devono coesistere altri record.
• Considerare il TTL come una garanzia assoluta di propagazione.
• Abbassare il TTL soltanto dopo aver già effettuato la modifica.
• Attivare DNSSEC senza coordinare correttamente DS e DNSKEY.
• Disattivare il vecchio hosting o DNS immediatamente dopo il cambio.
• Testare soltanto dal proprio computer e concludere che il DNS sia uguale ovunque.

Checklist DNS prima di una migrazione

• Nameserver attuali identificati.
• Zona DNS esportata o documentata.
• Record A e AAAA verificati.
• CNAME verificati.
• MX verificati.
• SPF verificato.
• DKIM verificato.
• DMARC verificato.
• CAA e altri TXT verificati.
• Sottodomini verificati.
• TTL pianificati.
• DNSSEC controllato.
• Nuovi nameserver testati direttamente.
• Vecchia infrastruttura mantenuta durante la transizione quando possibile.

Domande frequenti su DNS e nameserver

DNS e nameserver sono la stessa cosa?

No. DNS è l’intero sistema di risoluzione dei nomi. Un nameserver è un server che svolge un ruolo all’interno di quel sistema; nel contesto della gestione di un dominio, normalmente si parla dei nameserver autorevoli.

Quanto tempo impiega una modifica DNS a propagarsi?

Non esiste un tempo universale valido per qualsiasi modifica. Dipende dai TTL, dalle cache già esistenti, dal tipo di dato modificato e, nel caso di cambio nameserver, anche dalla cache della delega.

Abbassare il TTL rende immediata una modifica?

No. Può ridurre il periodo durante il quale le vecchie risposte restano in cache, soprattutto se il TTL viene abbassato con anticipo, ma non garantisce visibilità istantanea ovunque.

Posso cambiare hosting senza cambiare nameserver?

Sì. Se mantieni lo stesso servizio DNS puoi cambiare i record che puntano al nuovo hosting senza modificare la delega del dominio.

Perché il sito funziona ma la posta no?

Perché web e posta utilizzano record diversi. Un record A corretto può far funzionare il sito mentre MX, SPF, DKIM o DMARC sono mancanti o errati.

Posso mettere un CNAME sul dominio principale?

Un normale CNAME non può coesistere nello stesso nome con gli altri dati necessari all’apice della zona, come SOA e NS. Alcuni provider offrono meccanismi ALIAS, ANAME o flattening che risolvono il problema con implementazioni proprie.

A cosa serve DNSSEC?

DNSSEC consente di verificare autenticità e integrità dei dati DNS tramite firme crittografiche. Non cifra le query e non nasconde quali domini vengono richiesti.

Come posso capire se sto modificando il DNS giusto?

Prima controlla quali nameserver risultano delegati per il dominio. Poi interroga direttamente quei server e verifica che siano autorevoli per la zona. Modificare una zona non utilizzata non avrà alcun effetto sul traffico reale.

DNS e hosting: il punto da ricordare

Dominio, DNS e hosting sono componenti collegati ma separati. Il dominio è il nome registrato, il DNS descrive dove devono essere trovati i servizi e l’hosting fornisce le risorse che eseguono il sito o le applicazioni.

Quando scegli o cambi un provider non valutare quindi soltanto CPU, spazio e prezzo: verifica anche chi gestirà la zona DNS, quanto controllo avrai sui record, come viene gestito DNSSEC e quale procedura viene prevista per una futura migrazione.

Per approfondire gli altri elementi da valutare puoi leggere la guida completa alla scelta di un Web Hosting. Il criterio utilizzato per valutare le offerte del sito è descritto anche nella metodologia editoriale di Hosting Magazine.