Ce este DNS și cum ajunge, de fapt, un vizitator pe site-ul tău

DNS pe scurt: "agenda telefonică" a internetului

Comparația cu agenda telefonică este cea mai des folosită și rămâne utilă: tu cauți un nume, agenda îți dă numărul. În cazul internetului, "numărul" este adresa IP a serverului, fie în format IPv4 (patru grupuri de cifre, de exemplu 192.0.2.10), fie în format IPv6, mult mai lung, introdus pentru că spațiul de adrese IPv4 devenea insuficient pentru numărul tot mai mare de dispozitive conectate.

Sistemul a fost propus în 1983 de Paul Mockapetris, iar specificațiile de bază care îl definesc și astăzi, RFC 1034 și RFC 1035, au fost publicate în 1987. Înainte de DNS, toate numele de calculatoare din rețeaua ARPANET erau ținute într-un singur fișier text, actualizat manual și descărcat periodic de fiecare calculator conectat. Pe măsură ce rețeaua a crescut, soluția a devenit imposibil de întreținut, iar DNS a înlocuit-o cu o bază de date distribuită, în care nicio entitate nu deține singură toate informațiile.

De ce nu folosim direct adresele IP?

Pe lângă faptul că numele sunt mai ușor de reținut, există și un motiv practic important: adresa IP a unui site se poate schimba. Când muți site-ul la alt furnizor de hosting, primești aproape sigur o adresă IP nouă. Datorită DNS-ului, vizitatorii nu trebuie să afle nimic despre această schimbare - actualizezi o singură înregistrare, iar numele domeniului începe să trimită traficul către noul server. În plus, un singur server poate găzdui zeci de site-uri pe aceeași adresă IP, iar un site mare poate fi servit de sute de servere diferite, în funcție de locația vizitatorului. Numele de domeniu rămâne punctul fix, iar DNS se ocupă de restul.

Cum funcționează DNS, pas cu pas

Când întrebi "cum găsește browserul adresa unui site?", răspunsul scurt este: printr-o serie de întrebări adresate unor servere specializate, fiecare dintre ele cunoscând doar o parte din răspuns. Procesul se numește rezolvare DNS (DNS resolution) și arată, în linii mari, așa:

1. Verificarea memoriei locale. Browserul și sistemul de operare verifică întâi dacă nu au deja adresa IP salvată în cache, de la o vizită recentă. Dacă o găsesc, pasul de rezolvare se încheie aici.
2. Întrebarea ajunge la resolver. Dacă adresa nu e în cache, cererea pleacă spre un resolver DNS recursiv, de obicei cel al furnizorului de internet sau unul public, precum cel de la Google ori Cloudflare. Resolverul are rolul de a găsi răspunsul în numele tău.
3. Serverele root indică zona potrivită. Resolverul întreabă un server root, care nu știe adresa site-ului, dar știe cine se ocupă de extensia respectivă (.ro, .com, .eu etc.).
4. Serverul TLD indică serverele domeniului. Serverul responsabil pentru extensie (în cazul .ro, infrastructura administrată de ROTLD) răspunde cu numele serverelor DNS autoritative ale domeniului căutat.
5. Serverul autoritativ dă răspunsul final. Serverul autoritativ al domeniului deține înregistrările efective și returnează adresa IP a site-ului.
6. Răspunsul este memorat și folosit. Resolverul trimite adresa înapoi către dispozitivul tău, o păstrează în cache pentru o perioadă stabilită, iar browserul se conectează la server și încarcă pagina.

Deși par mulți pași, totul se petrece de regulă în câteva zeci de milisecunde, rareori mai mult de câteva sute, iar în majoritatea cazurilor o parte dintre răspunsuri se află deja în cache la resolver, așa că traseul complet nu trebuie parcurs la fiecare vizită.

Cele patru tipuri de servere implicate

Sistemul root, în cifre

Circulă adesea ideea că întregul internet depinde de "13 servere". În realitate, 13 este numărul identităților root (notate de la A la M), iar fiecare este distribuită pe mai multe servere fizice din întreaga lume, care răspund la aceeași adresă prin tehnologia anycast. Numărul lor diferă mult de la o literă la alta: unele identități au doar câteva instanțe, altele câteva sute.

Înregistrările DNS: ce sunt și care contează pentru un site de afaceri

Configurarea DNS a unui domeniu (numită și zonă DNS) este formată din mai multe înregistrări, fiecare cu un rol precis. Unele trimit vizitatorii către site, altele direcționează emailurile, iar altele dovedesc că domeniul îți aparține. Iată care sunt cele întâlnite cel mai des:

Pentru un site de prezentare obișnuit, cele care contează în practică sunt A (sau CNAME), MX și TXT. Restul fie sunt gestionate automat de furnizor, fie devin relevante doar în situații tehnice mai specifice.

Înregistrările TXT și livrarea emailurilor

Una dintre cele mai frecvente probleme întâlnite la firmele mici nu ține de site, ci de email: mesajele trimise de pe domeniul firmei ajung în folderul de spam al destinatarilor. Cauza este adesea o configurare DNS incompletă. Trei înregistrări, toate de tip TXT, ajută serverele de email să verifice că un mesaj a fost trimis legitim:

• SPF - lista serverelor care au voie să trimită emailuri în numele domeniului tău
• DKIM - o semnătură digitală atașată fiecărui mesaj, verificabilă printr-o cheie publică publicată în DNS
• DMARC - regula care le spune serverelor destinatare ce să facă atunci când un mesaj nu trece verificările SPF sau DKIM

Din februarie 2024, Google și Yahoo cer tuturor expeditorilor să aibă configurat cel puțin SPF sau DKIM, iar celor care trimit peste 5.000 de mesaje pe zi către conturi Gmail le cer toate trei, inclusiv DMARC. Pentru o firmă care trimite oferte, facturi sau newslettere, o zonă DNS configurată corect face diferența dintre un mesaj citit și unul pierdut în spam.

Ce este TTL și ce înseamnă, de fapt, propagarea DNS

Fiecare înregistrare DNS are asociată o valoare numită TTL (Time To Live), exprimată în secunde. TTL-ul le spune resolverelor cât timp au voie să păstreze un răspuns în memorie înainte să îl ceară din nou. O valoare de 3600 înseamnă o oră, iar una de 86400 înseamnă o zi întreagă.

Mecanismul este, în esență, un sistem de cache distribuit, cu aceleași avantaje și compromisuri descrise în explicația despre cum funcționează memoria cache: răspunsurile vin mai repede și serverele sunt mai puțin solicitate, dar o schimbare nu devine vizibilă imediat pentru toată lumea.

De aici vine și termenul de "propagare DNS". Numele sugerează că o modificare ar călători treptat prin internet, dar ce se întâmplă în realitate e mai simplu: modificarea este activă imediat pe serverul autoritativ, însă resolverele care au deja în cache vechiul răspuns îl vor folosi în continuare până la expirarea TTL-ului. Din acest motiv, în primele ore după o schimbare, unii vizitatori văd site-ul nou, iar alții pe cel vechi.

Cât durează propagarea DNS, în practică?

Intervalul de "24-48 de ore" apare des în documentațiile furnizorilor, dar este o estimare prudentă, nu o regulă. Durata reală depinde de ce anume modifici și de valorile TTL setate anterior:

Un truc folosit frecvent la migrări: cu o zi sau două înainte de schimbare, TTL-ul înregistrărilor importante se reduce la câteva minute (de exemplu, 300 de secunde). Astfel, în momentul mutării efective, resolverele preiau noua adresă aproape imediat, iar după stabilizare TTL-ul poate fi crescut la loc.

Domeniu, DNS și hosting: trei lucruri diferite

O sursă frecventă de confuzie este impresia că domeniul, DNS-ul și hostingul sunt același serviciu. Adesea le cumperi de la aceeași firmă, dar ele rămân componente separate și pot fi mutate independent una de cealaltă:

Poți avea, de exemplu, domeniul cumpărat de la un registrar român, DNS-ul administrat la un furnizor specializat și site-ul găzduit la o a treia firmă. Unul dintre cei mai folosiți furnizori de DNS gestionat este Cloudflare, care, pe lângă rezolvarea rapidă a numelor, poate adăuga și un strat de protecție și accelerare, așa cum explicăm în articolul despre ce face Cloudflare pentru un site.

Servere DNS publice: 8.8.8.8, 1.1.1.1 și 9.9.9.9

Pe partea de vizitator, resolverul folosit implicit este de obicei cel al furnizorului de internet. Există însă și resolvere publice, gratuite, pe care le poate configura oricine în setările rețelei sau ale routerului:

Trebuie făcută o distincție importantă: schimbarea resolverului de pe calculatorul tău nu schimbă nimic la configurarea DNS a propriului domeniu. Resolverul decide doar cine face "căutarea" pentru tine, nu unde duce site-ul tău pentru ceilalți vizitatori.

DNS și securitatea: riscurile pe care merită să le cunoști

DNS a fost proiectat în anii '80, când securitatea nu era o prioritate, iar interogările clasice circulă necriptate. De-a lungul timpului au apărut mai multe tipuri de atacuri care exploatează acest lucru, dar și mecanisme de protecție:

• DNS spoofing (cache poisoning) - un atacator încearcă să introducă în cache-ul unui resolver un răspuns fals, astfel încât vizitatorii să fie trimiși către un server controlat de el
• Preluarea contului de la registrar - dacă cineva obține acces la contul în care e administrat domeniul, poate redirecționa site-ul și emailurile oriunde; autentificarea în doi pași pe acest cont e una dintre cele mai simple protecții
• DNSSEC - o extensie care semnează digital înregistrările, astfel încât resolverele să poată verifica dacă răspunsul primit este autentic
• DNS over HTTPS (DoH) și DNS over TLS (DoT) - protocoale care criptează interogările dintre dispozitiv și resolver, astfel încât acestea să nu mai poată fi citite sau modificate pe traseu

Ce se întâmplă când DNS-ul nu mai răspunde?

Pentru că DNS este primul pas al oricărei conexiuni, o problemă la acest nivel poate face inaccesibil un site perfect funcțional. Două incidente cunoscute ilustrează bine acest lucru. În octombrie 2016, un atac DDoS lansat printr-o rețea de dispozitive IoT compromise (botnetul Mirai) a lovit furnizorul de DNS Dyn, iar platforme precum Twitter, Netflix sau Reddit au devenit greu accesibile pentru o parte importantă a utilizatorilor din SUA și Europa. În octombrie 2021, Facebook, Instagram și WhatsApp au fost indisponibile aproximativ șase ore după ce o eroare de configurare a rețelei a făcut serverele DNS ale companiei imposibil de accesat din exterior, așa cum a explicat chiar echipa de inginerie Meta.

Pentru un site de afaceri, lecția practică este că furnizorul DNS contează la fel de mult ca hostingul: un furnizor cu infrastructură redundantă și servere NS în locații diferite reduce riscul ca domeniul să devină inaccesibil.

Cum verifici configurarea DNS a domeniului tău

Dacă te întrebi "cum văd ce înregistrări DNS are domeniul meu?", ai la dispoziție câteva metode simple, fără să instalezi nimic special.

1. Folosește comanda nslookup. Este disponibilă pe Windows, macOS și Linux, direct din terminal sau din Command Prompt, și arată rapid adresa IP la care duce un domeniu sau serverele de email ale acestuia.
2. Folosește comanda dig, pentru detalii suplimentare. Disponibilă pe macOS și, de regulă, pe Linux, comanda dig afișează și valoarea TTL și poate interoga direct un anumit server DNS, util pentru a compara răspunsurile în timpul unei migrări.
3. Verifică din panoul furnizorului. Zona DNS completă se vede în contul furnizorului indicat de serverele NS ale domeniului. Dacă nu știi care este acesta, o căutare WHOIS pentru domeniu îți arată serverele NS.
4. Folosește un instrument online de verificare. Serviciile care interoghează domeniul din mai multe locații ale lumii arată dacă o modificare recentă a fost preluată peste tot sau dacă unele resolvere încă au în cache valoarea veche.

Câteva exemple de comenzi pe care le poți rula imediat:

# adresa IP a domeniului
nslookup exemplu.ro

# serverele de email (MX)
nslookup -type=MX exemplu.ro

# înregistrările TXT (macOS/Linux)
dig exemplu.ro TXT

# răspunsul resolverului 1.1.1.1
dig @1.1.1.1 exemplu.ro A

Greșeli frecvente în configurarea DNS

Majoritatea problemelor DNS întâlnite la site-urile de afaceri nu sunt complicate tehnic, ci țin de modificări făcute în grabă sau fără o imagine completă asupra zonei DNS.

Întrebări frecvente