In breve: se un dominio punta al server errato , controlla nell’ordine la delega dei nameserver, i record pubblicati dalla zona DNS autorevole e le risposte conservate nelle cache. Il solo browser non permette di capire a quale livello si trovi l’errore.
Indice dei contenuti
I tre livelli da distinguere
La delega indica quali nameserver sono responsabili del dominio. La zona autorevole pubblica i record A, AAAA, CNAME e gli altri dati DNS. I resolver ricorsivi usati dagli utenti conservano temporaneamente le risposte in cache in base al TTL.
Un dato corretto nel pannello sbagliato non ha effetto: i record vanno modificati presso il servizio che ospita la zona dei nameserver effettivamente delegati.
Dati da raccogliere prima delle modifiche
- nome di dominio completo e sottodominio interessato, per esempio dominio.it e www.dominio.it;
- indirizzo IPv4 o IPv6 atteso e indirizzo restituito;
- nameserver previsti e provider presso cui è gestita la zona;
- orario della prova e ultimo cambio DNS eseguito;
- presenza di CDN, proxy DNS o DNSSEC.
Esegui una sola modifica alla volta e conserva l’output dei comandi: così è possibile attribuire il risultato al controllo appena effettuato.
1. Controllare la delega
Verifica quali record NS vengono restituiti lungo la catena DNS:
dig NS dominio.it +trace
dig NS dominio.it +shortSe la delega indica nameserver diversi da quelli attesi, correggi i nameserver nel pannello del registrar. Non modificare ancora i record A o CNAME in un’altra zona: finché la delega non punta a quella zona, tali modifiche non saranno pubblicate agli utenti.
2. Interrogare i nameserver autorevoli
Dopo aver identificato i nameserver delegati, interrogali direttamente. Sostituisci il nome del server e il dominio negli esempi:
dig @ns1.esempio.net dominio.it A +noall +answer
dig @ns1.esempio.net www.dominio.it A +noall +answer
dig @ns1.esempio.net dominio.it AAAA +noall +answer
dig @ns1.esempio.net dominio.it SOA +noall +answerRipeti il controllo su tutti i nameserver autorevoli. Le risposte dovrebbero essere coerenti; dati differenti possono indicare una zona non sincronizzata o modifiche eseguite soltanto su uno dei server.
3. Verificare i record del sito
Controlla separatamente il dominio principale e www. Il primo può usare un record A o AAAA, mentre www può essere un CNAME: correggere uno non aggiorna automaticamente l’altro.
- Il record A deve contenere l’IPv4 previsto.
- Il record AAAA, se presente, deve contenere un IPv6 raggiungibile sul server corretto.
- Il record CNAME deve terminare su un nome che risolve verso la destinazione prevista.
- Se è attivo un proxy o una CDN, l’IP pubblico può appartenere al proxy: in questo caso verifica anche l’origine configurata nel relativo pannello.
4. Separare cache e TTL
Se i nameserver autorevoli restituiscono già il valore corretto ma alcuni utenti vedono ancora quello precedente, confronta più resolver:
dig @1.1.1.1 dominio.it A +noall +answer
dig @8.8.8.8 dominio.it A +noall +answerIl TTL indica per quanto tempo una risposta può rimanere in cache. Svuotare la cache del browser o del computer agisce soltanto sul dispositivo locale e non aggiorna le cache dei resolver esterni. Attendi la scadenza del TTL precedente prima di considerare anomala una risposta ancora memorizzata.
5. Controllare DNSSEC
Dopo un cambio di nameserver, un record DS rimasto presso il registrar ma non più corrispondente alle chiavi della nuova zona può causare errori di validazione. Verifica la catena DNSSEC:
dig +dnssec dominio.it A
dig DS dominio.it +traceNon rimuovere DNSSEC come prova generica. Confronta prima il DS pubblicato nella zona padre con le informazioni fornite dal gestore DNS; aggiorna o rimuovi il DS soltanto nell’ambito di una migrazione pianificata.
6. Verificare il server web
Una risposta DNS corretta non garantisce che il sito giusto venga mostrato. Verifica prima l’indirizzo risolto e poi la risposta HTTP:
curl -I https://dominio.it/
curl -I --resolve dominio.it:443:IP_ATTESO https://dominio.it/Il secondo comando permette di provare l’host sul server atteso senza attendere le cache DNS. Se compare il sito sbagliato, controlla virtual host, dominio associato al piano, certificato TLS e configurazione dell’eventuale proxy. Non modificare il file hosts come soluzione permanente: può servire solo per una prova locale controllata.
Guide Xlogic correlate
- Errori DNS più comuni: come diagnosticarli e risolverli
- DNSSEC: cos’è e come attivarlo in sicurezza
- AutoSSL non si rinnova: controllare DNS, CAA e Cloudflare
Domande frequenti
Dove devo modificare i record DNS del dominio?
Nel servizio che ospita la zona dei nameserver attualmente delegati. Modificare una zona non autorevole non cambia le risposte pubbliche.
Perché il pannello mostra l’IP corretto ma il dominio apre ancora il vecchio server?
La delega potrebbe indicare altri nameserver oppure un resolver potrebbe avere ancora in cache il valore precedente. Interroga prima i nameserver autorevoli e poi confronta i resolver pubblici.
Devo controllare anche il record AAAA?
Sì. Se è presente, alcuni client possono usare IPv6 e raggiungere un server diverso da quello indicato dal record A.
Come provo il nuovo server prima che scada la cache DNS?
Puoi usare curl con l’opzione –resolve per associare temporaneamente il dominio all’IP atteso durante una singola prova HTTPS, senza cambiare il DNS pubblico.