Il monitoraggio DNS tiene d’occhio i record DNS del tuo dominio e ti avvisa nel momento in cui uno di essi cambia. È importante perché un record modificato non provoca un’interruzione evidente. Se qualcuno punta il tuo dominio verso un altro server o i tuoi record di posta verso un altro provider, tutto può sembrare normale mentre traffico ed email finiscono altrove. Il monitoraggio DNS confronta i record stessi, quindi rileva modifiche che i controlli di uptime possono non vedere.
Perché le modifiche DNS sono pericolose
Il DNS traduce il nome del tuo dominio negli indirizzi dei tuoi server web e di posta. Chi controlla quei record controlla dove vanno i tuoi visitatori e la tua posta. Le modifiche avvengono per tre motivi:
Modifiche pianificate: una migrazione di server, un nuovo provider email, il passaggio a un’altra CDN. Vanno bene, ma vuoi la conferma che siano andate online correttamente.
Errori: un collega modifica il record sbagliato, una migrazione di provider perde un record TXT, una modifica del TTL ha effetti collaterali.
Dirottamento: qualcuno ottiene l’accesso al tuo account presso il registrar o il provider DNS, spesso tramite una password rubata con il phishing, e modifica i record.
Con un dirottamento, l’attaccante può mostrare ai visitatori una copia della tua pagina di login, intercettare le email o emettere a proprio nome certificati per il tuo dominio. Il monitoraggio non può impedire a qualcuno di accedere, ma riduce il tempo prima che te ne accorga da giorni a minuti.
I record DNS da tenere d’occhio
Ogni tipo di record controlla qualcosa di diverso. Un buon monitor DNS li copre tutti:
A e AAAA: gli indirizzi IPv4 e IPv6 del tuo sito. Una modifica manda i visitatori su un altro server.
CNAME: alias, spesso usati per www, CDN e servizi di terze parti. Una modifica può consegnare un sottodominio a qualcun altro.
MX: dove viene recapitata la posta del dominio. Una modifica può dirottare tutta la posta in arrivo.
NS: quali nameserver sono autoritativi per il dominio. Una modifica consegna il controllo di tutti gli altri record a chi gestisce i nuovi nameserver. Trattalo come l’avviso più critico.
SOA: il record start-of-authority della zona, che indica il nameserver primario e l’indirizzo di contatto della zona. Una modifica qui può significare che la zona è passata a un altro provider.
TXT: SPF, DKIM, DMARC e record di verifica del dominio. Le modifiche incidono sull’affidabilità della tua posta e su chi può verificare la proprietà del tuo dominio presso altri servizi.
CAA: quali autorità di certificazione possono emettere certificati per il tuo dominio. Una modifica può aprire la porta a certificati che non hai richiesto.
Come funziona il monitoraggio DNS
Aggiungi un dominio e scegli i tipi di record da monitorare.
Il monitor risolve i record a intervalli regolari e salva i valori attuali.
Quando un valore è diverso dall’ultimo valore noto, ricevi un avviso con il record vecchio e quello nuovo.
La modifica resta nello storico, così puoi vedere esattamente cosa è cambiato e quando.
Uptimecheck monitora i record A, AAAA, CNAME, MX, NS, SOA, TXT e CAA, conserva lo storico delle modifiche e invia un avviso a ogni modifica.
Come si presentano le modifiche normali
Alcuni record cambiano da soli, ed è bene sapere quali. Il numero di serie del SOA aumenta a ogni modifica della zona: per questo Uptimecheck lo esclude e confronta solo il nameserver e l’indirizzo di contatto del record SOA. Alcuni provider DNS ruotano i record per il bilanciamento del carico o il failover, il che può far cambiare regolarmente i record A. Le CDN possono restituire indirizzi diversi a seconda della località.
Prima di affidarti agli avvisi, osserva i tuoi record per una settimana. Annota quali cambiano durante il normale funzionamento e assicurati che il team sappia come si presenta una modifica prevista. Da lì in poi, qualsiasi modifica fuori dallo schema merita un’analisi più attenta.
Monitorare l’autenticazione email
I record TXT meritano un’attenzione particolare perché decidono se la tua posta arriva in inbox:
SPF elenca i server autorizzati a inviare email per il tuo dominio. Se cambia all’improvviso, qualcuno potrebbe aver aggiunto il proprio server.
DKIM pubblica la chiave pubblica che i server destinatari usano per verificare le tue firme.
DMARC indica ai destinatari cosa fare con la posta che non supera questi controlli.
Un record rotto o rimosso può mandare in spam newsletter, fatture e reimpostazioni della password. Un record che aggiunge un mittente sconosciuto può permettere a qualcuno di inviare posta che sembra tua. Entrambi i casi si presentano come una modifica TXT.
Un avviso di modifica ti dice che qualcosa si è mosso, non se il risultato è corretto. Per questo, il monitor dei domini di Uptimecheck controlla SPF, DKIM e DMARC due volte al giorno e indica come risolvere ogni problema, con un record DNS pronto da incollare quando basta quello. Vedi il monitoraggio dell’autenticazione email.
Come reagire a un avviso di modifica DNS
Quando arriva un avviso, gestiscilo in fretta:
Era pianificata? Verifica con chi gestisce il DNS. Se sì, conferma che i nuovi valori siano corretti.
Se no, confronta i valori. Il nuovo indirizzo IP è tuo? Il nuovo host MX appartiene al tuo provider email? I nuovi nameserver sono quelli del tuo provider DNS?
Metti al sicuro gli account. Se la modifica non è tua, cambia le password del registrar e del provider DNS, controlla chi ha accesso e attiva l’autenticazione a due fattori.
Ripristina i record partendo dallo storico.
Contatta il registrar se non riesci a riprendere il controllo, soprattutto dopo una modifica NS.
Verifica gli effetti collaterali: certificati emessi in quel lasso di tempo, email ricevute dal server sbagliato e visitatori che potrebbero aver visto una pagina falsa.
Informa i clienti se i loro dati potrebbero essere stati coinvolti, e usa la tua pagina di stato per gli aggiornamenti.
Prevenire il dirottamento DNS
Il monitoraggio rileva. Questi accorgimenti rendono un dirottamento più difficile fin dall’inizio:
Attiva l’autenticazione a due fattori sugli account del registrar e del provider DNS.
Attiva il registrar lock, così il dominio non può essere trasferito senza passaggi aggiuntivi.
Limita il numero di persone con accesso e rivedilo regolarmente.
Usa un record CAA per limitare le autorità di certificazione che possono emettere certificati.
Tieni aggiornati i contatti presso il registrar, così le email di sicurezza ti raggiungono.
Monitora anche la scadenza del dominio. Un dominio scaduto è il bersaglio più facile per chi vuole impadronirsene. Vedi il monitoraggio dei domini.
Checklist per il monitoraggio DNS
Elenca tutti i domini che possiedi, compresi quelli di redirect e di campagna.
Aggiungi monitor DNS per NS, A, AAAA, CNAME, MX, TXT, SOA e CAA.
Invia gli avvisi DNS a un canale condiviso che viene letto rapidamente.
Stabilite che ogni modifica pianificata venga annunciata, così quelle non pianificate saltano all’occhio.
Proteggi gli account del registrar e del DNS con la 2FA e il registrar lock.
Aggiungi il monitoraggio dei domini e il monitoraggio SSL per gli stessi domini.
Rivedi lo storico delle modifiche dopo ogni migrazione.
In sintesi
Le modifiche DNS sono silenziose: nessuna pagina di errore, nessun controllo fallito, solo traffico che va altrove. Monitorare i record stessi, con avvisi e storico, rende visibile ogni modifica nel giro di pochi minuti.
Il monitoraggio DNS è incluso in Uptimecheck insieme al monitoraggio di uptime, SSL, domini e server. Provalo gratis per 14 giorni, senza carta di credito.