Bonifica DNS dimenticati: trovare orphan

Con il tempo, le zone DNS accumulano record obsoleti o "orphan": sottodomini di servizi dismessi, IP di server spenti, CNAME verso domini non più esistenti. Questi record orfani possono causare problemi di sicurezza, performance e confusione operativa. La bonifica periodica è una buona pratica spesso trascurata.

Cosa sono i record orphan

Un record orphan è un record DNS che non ha più uno scopo legittimo: punta a un'IP o hostname che non esiste più, appartiene a un servizio dismesso, è rimasto da test mai puliti, è stato creato per un progetto chiuso, punta a fornitori non più utilizzati. Sono spesso nascosti tra centinaia di record validi.

Rischi degli orphan

• Subdomain takeover: se un CNAME punta a un servizio cloud non più attivo (es. Heroku app dismessa), un'attaccante può registrare quel nome e prendere controllo del sottodominio.
• Phishing: sottodomini orphan possono essere usati per campagne di phishing che appaiono legittime.
• Confusione operativa: troubleshooting rallentato dalla presenza di record inutili.
• Costi nascosti: alcuni record potrebbero ancora generare traffico verso servizi a pagamento.
• Compliance: audit di sicurezza richiedono pulizia DNS.

Identificare i record orphan

Il Pannello Manager include un tool dedicato "DNS Hygiene" che esegue scansioni automatiche:

1. Accedi al Pannello Manager e seleziona il dominio.
2. Vai su "Strumenti" > "DNS Hygiene".
3. Clicca "Esegui scansione".
4. Il sistema controlla ogni record: ping IP per A/AAAA, risoluzione target per CNAME, raggiungibilità HTTP per servizi web, validità hostname per MX.
5. Visualizza il report con flag per ogni problema rilevato.

Tipologie di anomalia rilevate

• IP non risponde: il record A punta a un'IP irraggiungibile da mesi.
• CNAME a NXDOMAIN: il target del CNAME non esiste più.
• Subdomain takeover risk: CNAME verso servizi cloud noti come dismissibili (Heroku, S3, GitHub Pages, Azure).
• MX non risponde SMTP: il mail server non accetta connessioni da settimane.
• Record di test/dev: pattern di nome che suggeriscono test (test., demo., staging., temp.).
• Duplicati: record identici creati erroneamente.
• Conflitti: A e CNAME sullo stesso nome (configurazione invalida).

Procedura passo-passo per la bonifica

1. Esegui DNS Hygiene scan.
2. Esporta il report (CSV) per analisi offline.
3. Per ogni record sospetto, verifica con il team se serve ancora.
4. Per record che servono ma sembrano orphan, documenta lo scopo.
5. Esporta backup completo della zona prima di eliminare.
6. Riduci TTL dei record da eliminare a 300 (per rollback rapido se serve).
7. Elimina i record confermati come orphan.
8. Monitora alert e segnalazioni per 7 giorni.
9. Se nessun problema, considera la pulizia completata.

Subdomain takeover: caso speciale

I CNAME verso servizi cloud sono particolarmente rischiosi. Esempio: blog.esempio.it CNAME esempio.herokuapp.com. Se l'app Heroku viene cancellata ma il CNAME resta, un'attaccante può registrare "esempio.herokuapp.com" e controllare blog.esempio.it. Verifica con HackerOne disclosure database i servizi noti per questa vulnerabilità.

Errori comuni e come risolverli

• Eliminato un record ancora in uso: rollback dal backup. Riduci TTL prima di pulizia per ripristino rapido.
• False positive: IP risponde ma è lento: il sistema potrebbe segnalare orphan IP che hanno solo latenze alte. Verifica manualmente.
• Record interni privati: alcuni record sono internamente usati ma non visibili pubblicamente. Documenta lo scopo.
• Tool DNS Hygiene non rileva: alcuni problemi richiedono conoscenza del business. Combina scan automatico con review manuale.
• Bonifica massiccia rompe servizi: pianifica in finestre di bassa attività e con stakeholder informati.

Domande frequenti

D: Quanto spesso bonificare i DNS?
R: Almeno una volta all'anno. Per ambienti dinamici (molti progetti, molti team) ogni trimestre.

D: Posso automatizzare la bonifica?
R: Sì, via API e script. Tuttavia, l'approvazione manuale resta consigliata per evitare false positive.

D: Esistono record da non eliminare mai?
R: SOA, NS, MX principali, record A/CNAME del sito principale e del www. Tutto il resto è candidato a review.

D: La bonifica influisce sulla SEO?
R: Solo se eliminate sottodomini ancora indicizzati. Verifica Google Search Console prima di eliminare sottodomini.

Hai bisogno di aiuto?

Se hai dubbi sul Pannello Manager G Tech Group, contattaci tramite il modulo di contatto.