În acest capitol
01De la nume la număr: de ce există DNS
Luni dimineață, ora nouă. Site-ul unui birou se deschide alb, poșta nu mai sosește, telefonul începe să sune. Niciun virus, nicio defecțiune la server: domeniul a expirat vineri, iar avizul de reînnoire ajungea într-o căsuță pe care nu o mai citește nimeni. Se întâmplă mai des decât s-ar crede și se evită cunoscând câteva mecanisme. Să începem cu începutul.
Calculatoarele conectate la Internet se recunosc după numere, adresele IP: ceva de felul 203.0.113.10 în versiunea mai veche (IPv4) sau un șir lung de cifre și litere despărțite de două puncte în cea nouă (IPv6). Oamenii, în schimb, țin minte nume. Niciun client nu ar scrie un șir de numere ca să-ți găsească biroul, dar își amintește fără efort numefirma.it.
DNS (Domain Name System, sistemul numelor de domeniu) este serviciul care face legătura între cele două: primește un nume și întoarce numărul serverului la care trebuie să te adresezi. A fost descris în 1987 în două documente tehnice, RFC 1034 și 1035, care și astăzi stau la baza a tot. Este, la propriu, nomenclatorul de străzi al Internetului.
În capitolul despre infrastructura web profesională am povestit casa, adică serverul. Aici povestesc adresa și drumul până la ea: ce cumperi când cumperi un domeniu, ce se întâmplă în milisecundele dintre momentul în care cineva îți scrie numele și cel în care vede pagina și ce greșeli, în acest lanț, opresc un site sau poșta unei firme întregi.
Cum se citește o adresă
O adresă web se citește de la dreapta la stânga, de la general la particular, ca o adresă poștală scrisă invers. Fiecare punct desparte un nivel:
- extensia (în jargon TLD, top level domain) este ultima parte:
.it,.com,.eu,.ro; - numele este partea pe care o înregistrezi: este a ta cât timp o reînnoiești;
- subdomeniul este tot ce stă în față:
www, dar șirezerva.numefirma.itsauposta.numefirma.it. Nu se cumpără: îl creezi tu cu o înregistrare DNS; - calea de după bară nu ține de DNS: este pagina din interiorul site-ului și o decide serverul.
02Registru, registrar și titular: cine deține numele
Un domeniu nu se cumpără pentru totdeauna: se înregistrează pentru o perioadă, de obicei unul sau mai mulți ani, și se reînnoiește. În lanț sunt patru actori și e util să-i cunoști pe toți, pentru că fiecare are un rol diferit:
- ICANN este organizația internațională fără scop lucrativ care coordonează sistemul numelor și al adreselor la nivel mondial;
- registrul administrează o singură extensie și ține lista oficială a numelor înregistrate. Pentru
.iteste Registro .it, care are sediul la Pisa, la Institutul de Informatică și Telematică al CNR (Consiliul Național de Cercetare din Italia); - registrarul este furnizorul la care te adresezi ca să înregistrezi numele, adesea același care vinde găzduire și poștă;
- titularul (în engleză registrant) este cel care are dreptul de folosire a numelui: trebuie să fie afacerea ta, cu datele ei.
De nu greșit
Se întâmplă des ca domeniul să fie înregistrat de cel care face site-ul, pe numele lui, „din comoditate”. Totul funcționează cât timp funcționează relația. În ziua în care vrei să schimbi furnizorul descoperi că adresa pe care ai tipărit-o pe cărți de vizită, dube și vitrine nu este a ta. Cine o administrează este o alegere; pe numele cui este nu este. Vorbesc pe larg despre asta în capitolul despre cine deține cu adevărat site-ul tău.
Expirarea: riscul cel mai banal și cel mai scump
Un domeniu nereînnoit încetează să funcționeze: site, poștă, tot. După expirare există de obicei o perioadă în care vechiul titular îl mai poate recupera, apoi numele redevine liber și oricine îl poate înregistra, inclusiv cine cumpără nume expirate ca să le revândă. Trei măsuri ajung ca să nu riști:
- activezi reînnoirea automată cu o metodă de plată care nu expiră peste o lună;
- ții la zi emailul de contact al titularului, pentru că acolo sosesc avizele;
- notezi data de expirare acolo unde o vede și altcineva din firmă.
03Rezolvarea: patru întrebări în câteva milisecunde
Când cineva îți scrie adresa, calculatorul lui nu știe unde se află serverul. Trebuie să întrebe, și o face printr-un lanț de întrebări care se numește rezolvare. Merită urmărit pas cu pas, pentru că explică aproape toate comportamentele „misterioase” ale domeniilor.
1
Resolverul
Calculatorul întreabă resolverul, de obicei cel al furnizorului de internet. Dacă are răspunsul în memorie, răspunde imediat.
2
Rădăcina
Dacă nu-l știe, resolverul întreabă un server rădăcină: „cine cunoaște numele în .it?”. Rădăcina nu-ți știe adresa, dar știe pe cine să cheme.
3
Extensia
Serverele .it răspund: „numefirma.it este administrat de aceste servere autoritare”. Încă niciun număr, dar drumul este bun.
4
Autoritarul
Serverul autoritar al domeniului tău dă răspunsul adevărat: adresa IP. Resolverul îl predă și îl ține în memorie.
Spus așa pare lung, dar se întâmplă în câteva zeci de milisecunde și aproape niciodată în întregime: fiecare verigă ține în memorie răspunsurile deja primite. Resolverul furnizorului tău de internet știe deja cine administrează .it, pentru că l-au întrebat mii de oameni acum un minut. Și browserul, și sistemul de operare păstrează răspunsurile recente.
Serverele rădăcină sunt indicate în sistem prin 13 nume, de la litera a la m, administrate de 12 organizații diferite. În spatele fiecărui nume sunt de fapt multe mașini răspândite în lume, care răspund la aceeași adresă: de aceea rădăcina Internetului nu se stinge când se strică un singur calculator.
Serverul autoritar este cel care contează pentru tine: acolo stau înregistrările domeniului tău, iar cine are acces la panoul în care se modifică decide unde merg site-ul și poșta. Care sunt serverele tale autoritare îi spui registrului prin înregistrările NS, de obicei cu câteva clicuri în panoul registrarului.
Test
Cine îi răspunde cui?
Alege un răspuns pentru fiecare întrebare: explicația apare imediat.
Cine cunoaște cu adevărat adresa IP a site-ului tău?
Rădăcina și extensia știu doar la cine să trimită; răspunsul adevărat stă în înregistrările serverului autoritar.
Prin câte nume sunt indicate serverele rădăcină?
Sunt 13 nume administrate de 12 organizații; în spatele fiecărui nume sunt multe mașini în lume.
De ce o a doua vizită pe site nu repetă toată cascada?
Browserul, sistemul de operare și resolverul refolosesc răspunsurile până la expirarea TTL-ului.
Unde îi spui registrului care sunt serverele tale autoritare?
Înregistrările NS arată cine comandă domeniul; se schimbă din panoul registrarului.
04Înregistrările DNS: cartea de identitate a domeniului
Pe serverul autoritar, domeniul tău este descris de o listă de rânduri numite înregistrări (în engleză records). Fiecare înregistrare are un nume (la ce adresă se referă), un tip (ce spune), o valoare și un TTL (cât timp o pot ține ceilalți în memorie). Este o carte de identitate: cine o citește știe unde locuiește site-ul, unde se livrează poșta, cine are voie să trimită în numele tău.
| Tip | Ce spune | Exemplu de folosire | Dacă e greșit |
|---|---|---|---|
| A | adresa IPv4 a serverului | site-ul pe un VPS | site-ul nu se deschide sau se deschide cel vechi |
| AAAA | adresa IPv6 a serverului | același site pentru rețelele IPv6 | unii vizitatori nu ajung, alții da |
| CNAME | „acest nume este un alias pentru celălalt” | www care trimite la numele principal, un serviciu extern pe un subdomeniu | subdomeniul duce în locul greșit |
| MX | căror servere li se livrează poșta, în ordinea priorității | căsuța de mail a firmei | mailurile primite se pierd sau se întorc |
| TXT | text liber citit de alte servicii | SPF, DKIM, DMARC, verificări Google | mailurile ajung în spam, verificările eșuează |
| NS | ce servere sunt autoritare pentru domeniu | mutarea administrării DNS de la un furnizor la altul | toate înregistrările încetează să mai valoreze deodată |
| CAA | ce autorități pot emite certificate pentru domeniu | limitarea certificatelor la o autoritate aleasă | reînnoirea certificatului este refuzată |
Înregistrările TXT și poșta
Trei înregistrări de tip TXT decid dacă mailurile pe care le trimiți ajung în căsuță sau în spam: SPF (ce servere pot trimite în numele domeniului), DKIM (semnătura criptografică a mesajelor) și DMARC (ce se face cu mailurile care nu trec verificările). Sunt atât de importante încât au un capitol numai al lor, cel despre emailul profesional al firmei. Aici ajunge să știi unde locuiesc: în aceeași carte de identitate a domeniului, lângă înregistrarea site-ului.
Subdomeniile: uși diferite ale aceleiași case
Cu o înregistrare se creează un subdomeniu, iar fiecare subdomeniu poate trimite la un alt server: site-ul de prezentare pe o găzduire, rezerva.numefirma.it pe VPS-ul portalului, shop.numefirma.it pe o platformă externă. Este și unul dintre modurile de a organiza un site în mai multe limbi, alături de dosare (/ro/) și de domeniile naționale: avantajele și dezavantajele fiecărei alegeri le compar în capitolul despre site-ul multilingv.
O greșeală tehnică frecventă
Domeniul „gol” (numefirma.it, fără nimic în față) nu poate avea un CNAME dacă are și alte înregistrări, iar el le are mereu: cel puțin NS și aproape întotdeauna MX. Standardele nu permit asta. De aceea numele principal folosește o înregistrare A (sau o alternativă oferită de furnizorul DNS), în timp ce www poate fi un alias.
Cuvintele capitolului
Micul dicționar al domeniului
Atinge o carte ca s-o întorci.
05TTL-ul și faimoasa „propagare”
Când se schimbă o înregistrare, cel care tocmai a modificat-o vede site-ul nou, colegul de alături îl vede încă pe cel vechi, iar un client din celălalt capăt al Italiei îl vede pe unul sau pe altul, după oră. Se spune că DNS-ul „se propagă”, ca și cum modificarea ar trebui să călătorească. În realitate nu călătorește nimic: expiră memoriile.
Fiecare înregistrare are un TTL (Time To Live, timp de viață), exprimat în secunde. Un resolver care a primit un răspuns cu TTL 3600 îl poate refolosi o oră fără să întrebe din nou. Dacă ai schimbat adresa cinci minute mai târziu, acel resolver va continua să o dea pe cea veche încă 55 de minute. Înmulțește cu milioanele de resolvere din lume, fiecare cu expirarea lui, și ai „propagarea”.
Cum faci o mutare fără goluri
TTL-ul este pârghia cu care muți un site sau o căsuță de mail de pe un server pe altul fără întreruperi. Procedura pe care o urmez este mereu aceeași:
- Cu una sau două zile înainte, cobori TTL-ul înregistrărilor care se vor schimba (de exemplu la 300 de secunde, cinci minute). Trebuie să aștepți să expire TTL-ul vechi, cel lung, ca memoriile să se actualizeze.
- Pregătești serverul nou și îl încerci înainte de a muta numele, de exemplu forțând adresa pe propriul calculator.
- Schimbi înregistrarea: în câteva minute aproape toți văd serverul nou.
- Ții pornit serverul vechi încă o vreme, pentru cererile întârziate.
- După mutare, ridici din nou TTL-ul: o valoare mare ușurează munca serverelor și face domeniul mai rezistent.
Această procedură este valabilă și când treci de la o găzduire partajată la un VPS, trecerea pe care o povestesc în capitolul despre infrastructura web. Cu poșta cere o atenție în plus: trebuie mutată înregistrarea MX și trebuie actualizate SPF și DKIM pentru noul server de trimitere, altfel zile întregi mailurile trimise par suspecte.
06HTTPS: conversația cifrată și lacătul
Odată găsit serverul, browserul începe să-i vorbească. Cu vechiul HTTP conversația circula în clar: oricine era în aceeași rețea (Wi-Fi-ul unei cafenele, un router compromis) putea citi parole și formulare sau chiar schimba pagina în timp ce sosea. HTTPS este același HTTP într-un canal cifrat cu protocolul TLS și rezolvă trei probleme deodată:
- confidențialitatea: ce schimbă browserul și serverul nu poate fi citit de cine stă la mijloc;
- integritatea: nimeni nu poate modifica pagina sau datele pe drum fără ca browserul să observe;
- autenticitatea: serverul dovedește, cu un certificat, că este într-adevăr cel al domeniului scris în bară.
Strângerea de mână
Înainte de a-și schimba pagina, browserul și serverul fac o scurtă negociere numită handshake, strângerea de mână. În versiunea actuală a protocolului, TLS 1.3, ajunge un singur drum dus-întors: browserul propune cum să cifreze, serverul răspunde alegând și prezentându-și certificatul, amândoi calculează o cheie secretă pe care nu a transmis-o nimeni niciodată, iar din acel moment totul circulă cifrat.
Certificatul și lanțul de încredere
Certificatul este un document digital care leagă numele domeniului de o cheie criptografică, semnat de o autoritate de certificare. Browserul nu-ți cunoaște certificatul, dar cunoaște deja o listă de autorități rădăcină în care are încredere: dacă certificatul tău este semnat de un intermediar, iar intermediarul de o rădăcină din listă, lanțul ține și pagina se deschide fără avertismente.
Astăzi un certificat pentru un site nu mai costă nimic: Let's Encrypt, o autoritate fără scop lucrativ, le emite gratuit și automat. Certificatele lui durează 90 de zile și trebuie reînnoite de un program care o face singur, de obicei la fiecare 60 de zile. Tendința întregului sector merge spre durate tot mai scurte: CA/Browser Forum, organismul care reunește autoritățile și producătorii de browsere, a aprobat în 2025 o reducere treptată a duratei maxime a certificatelor de la 398 la 47 de zile, în etape între martie 2026 și martie 2029. Concluzia: un certificat reînnoit de mână o dată pe an este un mod de lucru pe cale să dispară. Reînnoirea trebuie să fie automată.
Ce spune lacătul și ce nu spune
Lacătul din bara de adresă înseamnă că legătura este cifrată și că serverul este într-adevăr cel al domeniului scris. Nu înseamnă că site-ul este cinstit: și o pagină de înșelătorie poate avea un certificat valabil pentru domeniul ei înșelător. De aceea adresa trebuie citită, nu doar privit lacătul: numefirma.it și numefirma-plati.com sunt doi proprietari diferiți.
Adevărat sau fals?
Locurile comune despre domenii și lacăte
Decide pentru fiecare frază: adevărat sau fals?
Lacătul din bară garantează că site-ul este al unei firme cinstite.
Garantează cifrarea și corespondența cu domeniul, nu cinstea celui care îl administrează.
O modificare DNS „se propagă” călătorind de la un server la altul.
Nu călătorește nimic: expiră pe rând memoriile resolverelor, după TTL.
Un certificat HTTPS valabil poate fi gratuit.
Autorități ca Let's Encrypt le emit gratuit, cu reînnoire automată.
Cine îți înregistrează domeniul devine automat titularul lui.
Titularul este cel care apare în datele înregistrării: trebuie verificat că este afacerea ta.
Cu și fără www sunt, pentru Google, două adrese diferite.
De aceea se alege o versiune, iar cealaltă se redirecționează cu un 301.
Ultimele trei măsuri
- Redirecționarea permanentă: toate variantele adresei (cu și fără
www, cuhttpși cuhttps) trebuie să ducă printr-o redirecționare 301 la o singură versiune. Pentru motoarele de căutare, un site accesibil de la patru adrese diferite înseamnă patru site-uri care își fac concurență. - HSTS: un antet prin care serverul îi spune browserului „de acum înainte, cu mine vorbești doar în HTTPS”. Închide și prima clipă în care legătura ar putea porni în clar.
- Fără conținut mixt: o pagină în HTTPS care încarcă o imagine sau un script în HTTP pierde o parte din protecție, iar browserele blochează sau semnalează acele bucăți.
07Greșelile care opresc un site (și cum le eviți)
Aproape toate necazurile legate de domenii și certificate vin din câteva greșeli care se repetă. Să le cunoști este cel mai ieftin mod de a nu le trăi.
Ce se întâmplă
- Domeniu expirat: site-ul și poșta dispar împreună, pe neașteptate.
- Înregistrări MX șterse în timpul mutării site-ului: poșta primită se oprește și nimeni nu observă zile întregi.
- Certificat expirat sau valabil doar pentru
www: browserul arată o pagină roșie de avertizare. - NS schimbate fără a copia înregistrările: toate serviciile domeniului se opresc în același moment.
- TTL lungi în timpul unei mutări: ore întregi jumătate din clienți văd site-ul vechi.
Cum previi
- Reînnoire automată, email de contact la zi, data expirării notată în calendar.
- Înainte de a atinge orice, exporți sau fotografiezi toate înregistrările existente.
- Reînnoire automată a certificatului, care să acopere și numele principal, și
www. - Recreezi toate înregistrările la noul furnizor înainte de a schimba NS-urile.
- Cobori TTL-ul cu una sau două zile înainte, îl ridici după.
Un domeniu bine administrat nu se observă niciodată. Se observă în ziua în care poșta nu mai sosește, și de obicei e o zi de luni.
Pune-te la încercare
Adresa ta este cu adevărat sub control?
Întrebări frecvente
Cât timp trece până se vede o modificare DNS?
Depinde de TTL-ul înregistrării pe care ai schimbat-o: resolverele păstrează răspunsul vechi până la expirare. Cu un TTL de o oră, în decurs de o oră aproape toți văd noua valoare; cu un TTL de o zi poate fi nevoie de o zi. Dacă cobori TTL-ul înainte de o modificare, aștepți mai puțin.
Pot avea domeniul la un furnizor și site-ul la altul?
Da. Ajunge ca înregistrările DNS ale domeniului să trimită la serverul celui de-al doilea furnizor. Poți încredința administrarea DNS și unui al treilea serviciu, schimbând înregistrările NS la registrar.
Certificatul HTTPS se plătește?
Pentru marea majoritate a site-urilor, nu: autorități ca Let's Encrypt emit certificate gratuite, care se reînnoiesc automat. Certificatele cu plată au sens pentru nevoi speciale, cum ar fi unele verificări ale organizației cerute de contracte sau de anumite domenii de activitate.
Lacătul înseamnă că un site este de încredere?
Înseamnă că legătura este cifrată și că serverul este într-adevăr cel al domeniului din bară. Nu spune nimic despre cinstea celui care administrează site-ul: de aceea trebuie citit cu atenție numele domeniului.
E mai bine adresa cu www sau fără?
Funcționează amândouă; important este să alegi una și s-o redirecționezi pe cealaltă cu un 301. Versiunea cu www este un subdomeniu și deci poate folosi un CNAME, lucru pe care domeniul gol nu îl poate face: de aceea mulți, inclusiv eu, aleg www ca adresă principală.
Ce se întâmplă dacă domeniul expiră?
Site-ul și poșta încetează să funcționeze. O perioadă, care depinde de extensie și de registrar, vechiul titular îl mai poate recupera; apoi redevine liber și oricine îl poate înregistra.
Surse
- RFC 1034, «Domain Names – Concepts and Facilities» și RFC 1035, «Domain Names – Implementation and Specification» (în engleză): bazele DNS, ale înregistrărilor și ale TTL-ului.
- IANA, «Root Servers» (în engleză): cele 13 nume ale serverelor rădăcină și cele 12 organizații care le administrează.
- ICANN și Registro .it (în italiană): coordonarea globală a numelor și registrul extensiei italiene.
- RFC 8446, «The Transport Layer Security (TLS) Protocol Version 1.3» (în engleză): strângerea de mână dintr-un singur drum.
- Let's Encrypt, întrebări frecvente (în italiană): certificate gratuite, durată de 90 de zile și reînnoire recomandată la fiecare 60.
- CA/Browser Forum, Ballot SC-081v3 (în engleză): reducerea duratei maxime a certificatelor de la 398 la 47 de zile între martie 2026 și martie 2029.
- MDN, «Strict-Transport-Security» (în engleză) și MDN, «Conținut mixt» (în italiană).
Capitol actualizat în octombrie 2026. Adresele IP, numele serverelor și orele din planșe sunt exemple, luate din intervalele pe care standardele le rezervă documentației; comportamentul redirecționărilor de pe zenithdevelop.com a fost verificat pe 22 octombrie 2026.