Semplice = una query al resolver · Traccia = discesa dalla radice
opzioniOpzioni avanzate
Punti chiave dello strumento
Risposta CAA del nome interrogato
Visualizza i record CAA restituiti per il nome inserito, con i loro valori (Let's Encrypt, DigiCert, ecc.) e il TTL.
Multi-resolver
Confronta le risposte di Google, Cloudflare e Quad9 per rilevare problemi di propagazione.
Tag issue e issuewild
Le sezioni qui sotto spiegano il ruolo di ogni tag. Lo strumento mostra i valori così come vengono restituiti, senza interpretarli.
Tag iodef
Leggi l'indirizzo di notifica iodef, se il dominio ne pubblica uno. Lo strumento non verifica che sia raggiungibile e non garantisce alcuna notifica.
Gratuito e illimitato
Testa quanti domini vuoi. Nessuna registrazione richiesta.
Come utilizzare al meglio le opzioni del motore di lookup DNS
Cos'è la traccia iterativa?
La traccia esegue la risoluzione passo dopo passo. Il resolver interroga prima i server root, poi il TLD (.com, .it, .eu) e infine i server autoritativi della zona di destinazione. A ogni fase la pagina mostra il server interrogato, la risposta, l'RCODE e la latenza.
1. Root
Scoperta dei server TLD per il nome richiesto.
2. TLD
Riferimento agli NS della zona (delegazione).
3. Authoritative
Risposta finale (o errore) con TTL e latenza.
A cosa serve?
Confrontare le risposte tra resolver
Individuare cache calde, TTL troppo lunghi o deleghe incomplete
Spiegare una differenza di latenza o un RCODE inatteso
Suggerimento: lascia la traccia disattivata per i controlli rapidi; attivala durante un'indagine o per preparare ticket e post-mortem.
Cos'è la traccia classica?
La traccia classica interroga solo il resolver selezionato (UDP o DoH) e mostra la risposta così come viene percepita da quel punto di rete. Ottieni l'RCODE, le sezioni di risposta e la latenza per il tratto client → resolver.
1. Resolver scelto
Utilizza il preset o la configurazione personalizzata per eseguire la query esattamente come farebbe il tuo servizio.
2. Protocollo preservato
Rispetta il trasporto selezionato (UDP, TCP o DoH) così da riprodurre il comportamento reale.
3. Risposta dettagliata
Mostra domanda, risposta e sezioni authority/additional quando presenti, insieme a TTL e metadati utili.
Perché usarla?
Verificare la vista di un resolver specifico prima di sospettare problemi di delega
Confermare valori in cache e l'impatto di TTL o flush
Documentare una risoluzione esattamente come la vede un client o un microservizio
Suggerimento: tieni disattivata la traccia iterativa quando esegui l'audit di un resolver; riattivala dopo per confrontarla con il percorso root → TLD → authoritative.
Come funziona il test di propagazione?
Il test di propagazione DNS è uno strumento dedicato, distinto dal lookup a resolver singolo. Interroga in parallelo un insieme di resolver pubblici (Google, Cloudflare, Quad9, AdGuard, CleanBrowsing, DNS4EU, NextDNS, Surfshark) e raggruppa le risposte per contenuto e RCODE. Vedi subito chi ha già recepito l'aggiornamento.
1. Più resolver
Interroga contemporaneamente i resolver pubblici del catalogo, dai nostri server in Europa.
2. Confronto automatico
Raggruppa le risposte identiche e mette in evidenza divergenze o errori specifici di un resolver.
3. Riepilogo operativo
Fornisce un riepilogo chiaro, l'elenco dei resolver, le loro latenze e lo stato di ciascun gruppo.
Quando usarlo?
Monitorare la propagazione di una modifica DNS sui principali resolver pubblici
Individuare cache obsolete e decidere un flush mirato
Condividere uno snapshot di propagazione in un ticket o post-mortem
Suggerimento: la propagazione ha il suo strumento dedicato, separato dal lookup a resolver singolo (modalità Semplice o Traccia iterativa).
Un record CAA (Certificate Authority Authorization) definisce quali autorità di certificazione (CA) sono autorizzate a emettere certificati SSL/TLS per un dominio. È una misura di sicurezza che previene l'emissione non autorizzata di certificati.
La policy di un nome non viene per forza dall'apice. La ricerca segue gli alias. Se la risoluzione va a buon fine senza restituire CAA, riprende dal padre del nome richiesto, poi dal primo antenato che restituisce un insieme CAA, fino al TLD compreso. Non risale i padri della destinazione alias e non interroga la radice. Un errore di lettura lascia il risultato sconosciuto.
La CA rifiuta di emettere. Spesso l'insieme CAA applicabile contiene tag issue, o issuewild per un wildcard, che non autorizzano quella CA. Non è l'unica causa: anche un parametro accounturi o validationmethods può bloccare, e una CA può rifiutare finché la lettura CAA fallisce.
Individua l'insieme CAA applicabile: nome richiesto, alias, poi padri
Ogni comando interroga un solo nome e non risale verso i padri. Controlla prima lo stato: SERVFAIL, REFUSED o un timeout non permettono alcuna conclusione. Se lo stato è NOERROR senza righe CAA e la risposta mostra soltanto una catena di alias, interroga anche il suo ultimo nome di destinazione, senza risalire i suoi nomi padre. In assenza di un insieme CAA, interroga poi il padre del nome richiesto, quindi i successivi fino al TLD. La guida completa ai record CAA descrive questa procedura, alias compresi.
; Autorizzare Let's Encrypt per tutti i certificati
captaindns.com. 3600 IN CAA 0 issue "letsencrypt.org"
captaindns.com. 3600 IN CAA 0 issuewild "letsencrypt.org"
; Notifiche di sicurezza
captaindns.com. 3600 IN CAA 0 iodef "mailto:security@captaindns.com"