Salta al contenuto

Wildcard DNS: sottodomini automatici e rischi

Pubblicato il Aggiornato il

In breve: Wildcard DNS: usa normalmente un record con nome `*` per fornire una risposta ai sottodomini che non possiedono un record più specifico.

Informazioni principali

Questa guida approfondisce Wildcard DNS con una procedura progressiva e reversibile. Non inviare password, codici 2FA, token, chiavi private o file di configurazione completi nei ticket.

Che cosa significa

Un record esplicito ha precedenza sul wildcard. Il comportamento dipende dal punto della gerarchia in cui esiste il record e dagli altri nomi presenti.

Il web server deve comunque conoscere l’hostname richiesto. In caso contrario può mostrare un sito predefinito, un errore SSL o una pagina non prevista.

Come riconoscere il problema

  • Qualsiasi sottodominio risolve.
  • Sottodomini inventati mostrano il sito.
  • Il certificato non copre il nome.
  • Un record esplicito ha comportamento diverso.
  • Cloudflare proxy non gestisce il wildcard come atteso.

Cause più frequenti

1. Wildcard troppo ampio

Tutti i nomi non definiti puntano alla stessa origine. Verifica questa ipotesi usando il messaggio completo e i dati dell’orario interessato, senza basarti soltanto sul testo mostrato dal browser o dall’applicazione.

2. Virtual host assente

Il server non instrada l’hostname.

3. Certificato non wildcard

TLS non copre i sottodomini.

4. Record esplicito

Un nome specifico sostituisce la risposta wildcard.

5. Applicazione non valida host

Il software accetta hostname arbitrari.

6. Cache o proxy

CDN e DNS possono avere limitazioni o configurazioni separate.

Diagnosi passo per passo

  1. Interroga un nome inventato. Verifica A, AAAA o CNAME. Salva il risultato e confrontalo con il passaggio successivo; in questo modo potrai distinguere una causa locale da una configurazione del servizio.
  2. Controlla record espliciti. Individua eccezioni. Salva il risultato e confrontalo con il passaggio successivo; in questo modo potrai distinguere una causa locale da una configurazione del servizio.
  3. Verifica certificato. Controlla SAN e wildcard. Salva il risultato e confrontalo con il passaggio successivo; in questo modo potrai distinguere una causa locale da una configurazione del servizio.
  4. Controlla virtual host. Il server deve instradare solo host previsti. Salva il risultato e confrontalo con il passaggio successivo; in questo modo potrai distinguere una causa locale da una configurazione del servizio.
  5. Testa applicazione. Evita host header injection e tenant inesistenti. Salva il risultato e confrontalo con il passaggio successivo; in questo modo potrai distinguere una causa locale da una configurazione del servizio.
  6. Controlla CDN. Verifica proxy e certificati edge. Salva il risultato e confrontalo con il passaggio successivo; in questo modo potrai distinguere una causa locale da una configurazione del servizio.
  7. Analizza email. Il wildcard DNS non crea MX o caselle. Salva il risultato e confrontalo con il passaggio successivo; in questo modo potrai distinguere una causa locale da una configurazione del servizio.

Metodo sicuro di intervento

Prima di modificare la configurazione, registra lo stato iniziale: indirizzo o funzione coinvolta, messaggio completo, data e ora, ultima modifica nota e risultato da un secondo dispositivo, rete o strumento. Una diagnosi ripetibile è più utile di molti tentativi eseguiti contemporaneamente.

Applica una sola correzione alla volta e conserva una copia dei file, dei record o dei valori precedenti. Dopo ogni intervento ripeti esattamente il test originale e controlla i log relativi allo stesso intervallo temporale. Se il risultato cambia, annota quale modifica lo ha prodotto.

Evita disattivazioni globali di firewall, WAF, TLS, cache o sistemi di sicurezza. Quando serve una eccezione, deve essere limitata all’URL, al parametro, al processo o al servizio realmente interessato.

Controlli finali

  • Nome previsto funziona.
  • Nome non autorizzato è rifiutato.
  • Certificato valido.
  • Record espliciti prevalgono.
  • Nessun servizio email implicito.

Fonti tecniche ufficiali

Domande frequenti

Come funziona un wildcard DNS?

Il comportamento dipende dal punto della gerarchia in cui esiste il record e dagli altri nomi presenti. In pratica, un record esplicito ha precedenza sul wildcard. Il web server deve comunque conoscere l’hostname richiesto.

Come verificare se un wildcard DNS è configurato correttamente?

Interroga un nome inventato. Verifica A, AAAA o CNAME.

Guide Xlogic correlate

Fonti tecniche

Wildcard DNS: sottodomini automatici e rischi ultima modifica: 2026-08-02T02:07:15+02:00 da Team tecnico Xlogic

Ti è piaciuto questo Post?