Come funziona questo controllo
Questo controllo interroga il DNS e la registrazione del tuo dominio, risalendo la catena dei domini (da app.tuodominio.it a tuodominio.it) perché questi dati vivono sul dominio registrabile. Guarda tre cose. CAA: se non ci sono record CAA a nessun livello, gravità bassa. DNSSEC: chiede i record DS tramite DNS su HTTPS; se non ce ne sono a nessun livello, gravità bassa. Scadenza: consulta la data di scadenza via RDAP, il successore di whois; se mancano 7 giorni o meno, alta; 30 o meno, media; 60 o meno, bassa. Se il registro non pubblica la data o una query fallisce, non c'è rilievo: nel dubbio, non si inventa.
Perché è importante
I tre punti proteggono il dominio in sé, che sta sotto a tutto il resto. Senza CAA, una qualsiasi delle oltre cento autorità di certificazione del mondo può emettere un certificato valido per il tuo dominio; con CAA solo quelle che autorizzi tu, il che rende rilevabile un'emissione fraudolenta. Senza DNSSEC, le risposte DNS del tuo dominio non sono firmate e un attaccante che avveleni la cache di un resolver può mandare i tuoi utenti su un altro server senza che nulla lo tradisca. E la scadenza è il rischio più stupido e più definitivo: un dominio che scade cade per intero (sito, posta, API) e, passato il periodo di grazia, può registrarlo un'altra persona. Succede a grandi aziende ogni anno per una carta scaduta.
Come risolvere
CAA
tuodominio.it. CAA 0 issue "letsencrypt.org"
tuodominio.it. CAA 0 issuewild ";"
tuodominio.it. CAA 0 iodef "mailto:security@tuodominio.it"Autorizza l'autorità che emette i tuoi certificati. Se usi Vercel o Netlify, è Let's Encrypt; se usi Cloudflare, consulta la sua documentazione per la lista delle autorità che impiega e aggiungile tutte; se compri certificati, quella del tuo fornitore. Un CAA che non includa la tua autorità reale fa fallire in silenzio il prossimo rinnovo, quindi controlla il primo rinnovo dopo averlo aggiunto. issuewild ";" vieta i wildcard se non li usi, e iodef indica dove avvisare se qualcuno tenta un'emissione non autorizzata.
DNSSEC
Si attiva in due posti. Prima dal fornitore DNS (Cloudflare, Route 53, il registrar stesso): di solito è un pulsante che firma la zona e ti mostra un record DS. Poi quel DS si pubblica dal registrar del dominio, che lo invia al registro del TLD. Se DNS e registrazione sono nello stesso posto, è un solo clic. Un avvertimento: se un giorno cambi fornitore DNS, elimina il DS prima di spostare la zona o il dominio smetterà di risolvere.
Scadenza
Attiva il rinnovo automatico dal registrar, controlla che la carta associata non scada prima del dominio, e mantieni valida l'email di contatto, dove arrivano gli avvisi. Se il dominio è quello della tua attività, rinnova per più anni e attiva il blocco al trasferimento. Scanaris ti avvisa via email 30, 14 e 3 giorni prima della scadenza, come per i certificati.
Verifica che sia risolto
dig +short CAA tuodominio.it
dig +short DS tuodominio.it
curl -s https://rdap.org/domain/tuodominio.it | grep -oE '"eventAction":"expiration","eventDate":"[^"]+"'Atteso: almeno una riga issue nel primo, una o più righe nel secondo, e una data di scadenza lontana nel terzo. Le modifiche DNS impiegano da minuti a ore; il DS può impiegare fino a un giorno per comparire nel TLD.
Domande frequenti
DNSSEC può rompere il mio sito?
Solo se configurato male: un DS che non corrisponde alle chiavi della zona fa sì che i resolver che validano rifiutino il tuo dominio. Per questo conviene attivarlo da un fornitore che gestisca le chiavi per te e confermare con il comando qui sopra e con un validatore esterno che tutto torni prima di darlo per fatto.
Il mio dominio scade tra un anno. Perché non compare nulla?
Perché va bene. Il rilievo compare solo a 60 giorni o meno. Se vuoi stare tranquillo, attiva il rinnovo automatico ora, che è quando non urge.
Il CAA sostituisce avere un buon certificato?
No, sono cose diverse. Il CAA limita chi può emettere; la qualità del certificato e del protocollo che hai la misura certificato TLS. E la configurazione della posta dello stesso dominio la esamina autenticazione email.