Dominio, DNS e HTTPS: cosa succede quando qualcuno scrive il tuo indirizzo

01Dal nome al numero: perché esiste il DNS

Lunedì mattina, ore nove. Il sito di uno studio si apre bianco, la posta non arriva, il telefono comincia a squillare. Nessun virus, nessun guasto al server: il dominio è scaduto venerdì, e l'avviso di rinnovo arrivava a una casella che nessuno legge più. Succede più spesso di quanto si pensi, e si evita conoscendo pochi meccanismi. Cominciamo dall'inizio.

I computer collegati a Internet si riconoscono con dei numeri, gli indirizzi IP: qualcosa come 203.0.113.10 nella versione più vecchia (IPv4), o una lunga sequenza di cifre e lettere separate da due punti in quella nuova (IPv6). Le persone invece ricordano i nomi. Nessun cliente scriverebbe una fila di numeri per trovare il tuo studio, mentre ricorda senza fatica nomeazienda.it.

Il DNS (Domain Name System, il sistema dei nomi di dominio) è il servizio che fa da ponte fra le due cose: riceve un nome e restituisce il numero del server a cui rivolgersi. È stato descritto nel 1987 in due documenti tecnici, le RFC 1034 e 1035, che ancora oggi sono la base di tutto. È, letteralmente, lo stradario di Internet.

Nel capitolo sull'infrastruttura web professionale ho raccontato la casa, cioè il server. Qui raccontiamo l'indirizzo e la strada per arrivarci: cosa compri quando compri un dominio, cosa succede nei millisecondi fra il momento in cui qualcuno scrive il tuo nome e quello in cui vede la pagina, e quali errori, in questa catena, fermano un sito o la posta di un'azienda intera.

Come si legge un indirizzo

Un indirizzo web si legge da destra verso sinistra, dal generale al particolare, come un indirizzo postale scritto al contrario. Ogni punto separa un livello:

• l'estensione (in gergo TLD, top level domain) è l'ultima parte: .it, .com, .eu, .ro;
• il nome è la parte che registri: è tua finché la rinnovi;
• il sottodominio è tutto quello che sta davanti: www, ma anche prenota.nomeazienda.it o posta.nomeazienda.it. Non si compra: lo crei tu con un record DNS;
• il percorso dopo la barra non riguarda il DNS: è la pagina dentro al sito, e la decide il server.

02Registro, registrar e intestatario: chi possiede il nome

Un dominio non si compra per sempre: si registra per un periodo, di solito uno o più anni, e si rinnova. Nella catena ci sono quattro attori, ed è utile conoscerli tutti perché ognuno ha un ruolo diverso:

• ICANN è l'organizzazione internazionale senza scopo di lucro che coordina il sistema dei nomi e degli indirizzi a livello mondiale;
• il registro gestisce una singola estensione e tiene l'elenco ufficiale dei nomi registrati. Per il .it è il Registro .it, che ha sede a Pisa presso l'Istituto di Informatica e Telematica del CNR;
• il registrar è il fornitore a cui ti rivolgi per registrare il nome, spesso lo stesso che vende hosting e posta;
• l'intestatario (in inglese registrant) è chi ha il diritto d'uso del nome: deve essere la tua attività, con i suoi dati.

La scadenza: il rischio più banale e più costoso

Un dominio non rinnovato smette di funzionare: sito, posta, tutto. Dopo la scadenza c'è di solito un periodo in cui il vecchio intestatario può ancora recuperarlo, poi il nome torna libero e chiunque può registrarlo, compreso chi compra nomi scaduti per rivenderli. Tre accorgimenti bastano a non correre il rischio:

• attivare il rinnovo automatico con un metodo di pagamento che non scade fra un mese;
• tenere aggiornata l'email di contatto dell'intestatario, perché è lì che arrivano gli avvisi;
• segnare la data di scadenza dove la vede anche qualcun altro in azienda.

03La risoluzione: quattro domande in pochi millisecondi

Quando qualcuno scrive il tuo indirizzo, il suo computer non sa dove si trova il server. Deve chiederlo, e lo fa con una catena di domande che si chiama risoluzione. Vale la pena seguirla passo per passo, perché spiega quasi tutti i comportamenti «misteriosi» dei domini.

Detta così sembra lunga, ma succede in poche decine di millisecondi, e quasi mai per intero: ogni anello tiene in memoria le risposte già ricevute. Il resolver del tuo fornitore di connessione sa già chi gestisce il .it, perché glielo hanno chiesto migliaia di persone un minuto fa. Il browser stesso e il sistema operativo conservano le risposte recenti.

I server radice sono indicati nel sistema con 13 nomi, dalla lettera a alla m, gestiti da 12 organizzazioni diverse. Dietro ogni nome ci sono in realtà molte macchine sparse nel mondo, che rispondono allo stesso indirizzo: per questo la radice di Internet non si spegne quando si guasta un singolo computer.

Il server autorevole è quello che conta per te: è lì che stanno i record del tuo dominio, e chi ha accesso al pannello in cui si modificano decide dove vanno sito e posta. L'indicazione di quali sono i tuoi server autorevoli si dà al registro tramite i record NS, di solito con un paio di clic nel pannello del registrar.

04I record DNS: la carta d'identità del dominio

Sul server autorevole, il tuo dominio è descritto da un elenco di righe chiamate record. Ogni record ha un nome (a quale indirizzo si riferisce), un tipo (che cosa dice), un valore e un TTL (per quanto tempo gli altri possono tenerlo in memoria). È una carta d'identità: chi la legge sa dove abita il sito, dove consegnare la posta, chi è autorizzato a spedire a nome tuo.

I record TXT e la posta

Tre record di tipo TXT decidono se le mail che spedisci arrivano in casella o nello spam: SPF (quali server possono spedire a nome del dominio), DKIM (la firma crittografica dei messaggi) e DMARC (cosa fare con le mail che non superano i controlli). Sono così importanti che hanno un capitolo tutto loro, quello sull'email aziendale professionale. Qui basta sapere dove vivono: nella stessa carta d'identità del dominio, accanto al record del sito.

I sottodomini: porte diverse della stessa casa

Con un record si crea un sottodominio, e ogni sottodominio può puntare a un server diverso: il sito vetrina su un hosting, prenota.nomeazienda.it sulla VPS del portale, shop.nomeazienda.it su una piattaforma esterna. È anche uno dei modi per organizzare un sito in più lingue, insieme alle cartelle (/ro/) e ai domini nazionali: i pro e i contro di ogni scelta li confronto nel capitolo sul sito multilingue.

05Il TTL e la famosa «propagazione»

Quando si cambia un record, chi lo ha appena modificato vede il sito nuovo, il collega accanto vede ancora quello vecchio, e un cliente dall'altra parte d'Italia vede l'uno o l'altro a seconda dell'ora. Si dice che il DNS si sta «propagando», come se la modifica dovesse viaggiare. In realtà non viaggia niente: scadono le memorie.

Ogni record ha un TTL (Time To Live, tempo di vita), espresso in secondi. Un resolver che ha ricevuto una risposta con TTL 3600 la può riusare per un'ora senza chiedere di nuovo. Se hai cambiato l'indirizzo cinque minuti dopo, quel resolver continuerà a dare quello vecchio per altri 55 minuti. Moltiplica per i milioni di resolver del mondo, ognuno con la sua scadenza, e hai la «propagazione».

Come si fa un trasloco senza buchi

Il TTL è la leva per spostare un sito o una casella da un server all'altro senza disservizi. La procedura che seguo è sempre la stessa:

1. Uno o due giorni prima, abbassare il TTL dei record che cambieranno (per esempio a 300 secondi, cinque minuti). Bisogna aspettare che scada il TTL vecchio, quello lungo, perché le memorie si aggiornino.
2. Preparare il server nuovo e provarlo prima di spostare il nome, per esempio forzando l'indirizzo sul proprio computer.
3. Cambiare il record: entro pochi minuti quasi tutti vedono il server nuovo.
4. Tenere acceso il server vecchio ancora per un po', per le richieste ritardatarie.
5. A trasloco finito, rialzare il TTL: un valore alto alleggerisce il lavoro dei server e rende il dominio più resistente.

Questa procedura vale anche quando si passa da un hosting condiviso a una VPS, il passaggio che racconto nel capitolo sull'infrastruttura web. Con la posta richiede un'attenzione in più: va spostato il record MX, e vanno aggiornati SPF e DKIM per il nuovo server di invio, altrimenti per giorni le mail in partenza sembrano sospette.

06HTTPS: la conversazione cifrata e il lucchetto

Trovato il server, il browser comincia a parlargli. Con il vecchio HTTP la conversazione viaggiava in chiaro: chiunque fosse sulla stessa rete (il Wi-Fi di un bar, un router compromesso) poteva leggere password e moduli, o perfino cambiare la pagina mentre arrivava. HTTPS è lo stesso HTTP dentro a un canale cifrato con il protocollo TLS, e risolve tre problemi insieme:

• riservatezza: quello che si scambiano browser e server non è leggibile da chi sta in mezzo;
• integrità: nessuno può modificare la pagina o i dati lungo la strada senza che il browser se ne accorga;
• autenticità: il server dimostra, con un certificato, di essere davvero quello del dominio scritto nella barra.

La stretta di mano

Prima di scambiarsi la pagina, browser e server fanno una breve negoziazione chiamata handshake, la stretta di mano. Nella versione attuale del protocollo, TLS 1.3, basta un solo giro di andata e ritorno: il browser propone come cifrare, il server risponde scegliendo e presentando il suo certificato, entrambi calcolano una chiave segreta che nessuno ha mai trasmesso, e da quel momento tutto viaggia cifrato.

Il certificato e la catena di fiducia

Il certificato è un documento digitale che lega il nome del dominio a una chiave crittografica, firmato da un'autorità di certificazione. Il browser non conosce il tuo certificato, ma conosce già un elenco di autorità radice di cui si fida: se il tuo certificato è firmato da un intermedio, e l'intermedio da una radice dell'elenco, la catena regge e la pagina si apre senza avvisi.

Oggi un certificato per un sito non costa più nulla: Let's Encrypt, un'autorità senza scopo di lucro, li rilascia gratuitamente e in automatico. I suoi certificati durano 90 giorni e vanno rinnovati da un programma che lo fa da solo, di solito ogni 60 giorni. La tendenza di tutto il settore va verso durate sempre più brevi: il CA/Browser Forum, l'organismo che riunisce autorità e produttori di browser, ha approvato nel 2025 una riduzione graduale della durata massima dei certificati da 398 a 47 giorni, a tappe fra marzo 2026 e marzo 2029. Morale: un certificato rinnovato a mano una volta all'anno è un modo di lavorare che sta finendo. Il rinnovo deve essere automatico.

Cosa dice il lucchetto, e cosa non dice

Il lucchetto nella barra dell'indirizzo significa che la connessione è cifrata e che il server è davvero quello del dominio scritto. Non significa che il sito sia onesto: anche una pagina truffaldina può avere un certificato valido per il suo dominio truffaldino. Per questo l'indirizzo va letto, non solo il lucchetto guardato: nomeazienda.it e nomeazienda-pagamenti.com sono due proprietari diversi.

Gli ultimi tre accorgimenti

• Il reindirizzamento permanente: tutte le varianti dell'indirizzo (con e senza www, con http e con https) devono portare con un reindirizzamento 301 a una sola versione. Per i motori di ricerca un sito raggiungibile da quattro indirizzi diversi sono quattro siti che si fanno concorrenza.
• HSTS: un'intestazione con cui il server dice al browser «da adesso in poi, con me, parla solo in HTTPS». Chiude anche il primo istante in cui la connessione potrebbe partire in chiaro.
• Niente contenuti misti: una pagina in HTTPS che carica un'immagine o uno script in HTTP perde parte della protezione, e i browser bloccano o segnalano quei pezzi.

07Gli errori che fermano un sito (e come si evitano)

Quasi tutti i guai legati a domini e certificati arrivano da pochi errori ricorrenti. Conoscerli è il modo più economico di non viverli.

Un dominio ben gestito non si nota mai. Si nota il giorno in cui la posta smette di arrivare, e di solito è un lunedì.

Domande frequenti

Fonti

1. RFC 1034, «Domain Names – Concepts and Facilities» e RFC 1035, «Domain Names – Implementation and Specification»: le basi del DNS, dei record e del TTL.
2. IANA, «Root Servers»: i 13 nomi dei server radice e le 12 organizzazioni che li gestiscono.
3. ICANN e Registro .it: il coordinamento globale dei nomi e il registro dell'estensione italiana.
4. RFC 8446, «The Transport Layer Security (TLS) Protocol Version 1.3»: la stretta di mano in un solo giro.
5. Let's Encrypt, domande frequenti: certificati gratuiti, durata di 90 giorni e rinnovo consigliato ogni 60.
6. CA/Browser Forum, Ballot SC-081v3: la riduzione della durata massima dei certificati da 398 a 47 giorni fra marzo 2026 e marzo 2029.
7. MDN, «Strict-Transport-Security» e MDN, «Contenuto misto».

Capitolo aggiornato a ottobre 2026. Indirizzi IP, nomi di server e orari nelle tavole sono esempi, presi dagli intervalli che gli standard riservano alla documentazione; il comportamento dei reindirizzamenti di zenithdevelop.com è stato verificato il 22 ottobre 2026.