Què és la delegació CNAME?
Una visió general conceptual de la delegació CNAME: què és, com la utilitza QuietLS i per què és important.
Què és un registre CNAME?
Un registre CNAME (Canonical Name) és un tipus de registre DNS que assigna un nom de domini a un altre. Quan un resolutor DNS troba un CNAME, segueix l'àlies i resol el nom de destinació.
Exemple:
blog.example.com. CNAME example.github.io.
En aquest exemple, qualsevol persona que consulti blog.example.com serà redirigit de forma transparent a example.github.io a nivell de DNS.
Què és la delegació CNAME?
La delegació CNAME és la pràctica d'apuntar un subdomini específic a un servei de terceres mitjançant un registre CNAME, delegant efectivament el control d'aquest nom al servei.
La idea clau: creeu el CNAME una sola vegada, i a partir d'aquell moment el servei de terceres controla a què resol aquest subdomini — sense necessitat de fer més canvis al DNS.
Aquest patró s'utilitza àmpliament per a:
- Verificació de dominis (demostrar propietat a un servei)
- Validació de certificats SSL (reptes ACME DNS-01)
- Autenticació de correu electrònic (DKIM, SPF via include)
- Configuració de CDN
Com utilitza QuietLS la delegació CNAME
QuietLS utilitza la delegació CNAME per verificar que sou propietari del vostre domini. Quan afegiu un domini, QuietLS us demana que creeu un únic registre CNAME:
_pki-validation.example.com. CNAME <token>.verification.quietls.com.
Això és el que significa cada part:
_pki-validation.example.com:
Un subdomini sota el vostre domini. El prefix _pki-validation és una convenció que senyalitza «aquest nom s'utilitza per a la validació PKI (Public Key Infrastructure)». No afecta el vostre lloc web, correu electrònic ni cap altre servei.
<token>.verification.quietls.com:
La destinació, allotjada a la infraestructura de QuietLS. El testimoni és un identificador únic generat a partir del vostre compte i del nom de domini.
Què passa durant la verificació
- Creeu el registre CNAME al vostre proveïdor DNS.
- QuietLS consulta servidors DNS públics (Google
8.8.8.8i Cloudflare1.1.1.1) per trobar un registre CNAME a_pki-validation.example.com. - Si el valor resolt coincideix amb el testimoni esperat, la propietat queda confirmada.
Per què delegació CNAME?
Configuració única
Afegiu el registre CNAME una vegada. Després d'això, QuietLS pot verificar el vostre domini en qualsevol moment sense necessitat que torneu a iniciar sessió al vostre proveïdor DNS.
Sense passos manuals continuats
A diferència de la verificació basada en fitxers (penjar un fitxer al vostre servidor web) o la verificació per correu electrònic, la delegació CNAME no depèn que el vostre servidor sigui accessible ni que existeixi una adreça de correu concreta.
No intrusiu
El subdomini _pki-validation és un espai de noms dedicat que no interfereix amb el vostre lloc web, correu electrònic ni cap altre registre DNS. És invisible per als vostres usuaris.
Funciona per a tots els tipus de domini
La delegació CNAME funciona de la mateixa manera per a dominis individuals (example.com), subdominis (app.example.com) i dominis comodí (*.example.com).
Model de seguretat
Testimoni únic per usuari i domini
El testimoni de verificació es deriva d'una combinació de l'ID del vostre compte d'usuari i el nom de domini:
token = sha256(userId + ":" + domain)[0..32]
Això significa:
- Cada usuari rep un testimoni diferent per al mateix domini.
- Cada domini rep un testimoni diferent per al mateix usuari.
- El testimoni és determinista — afegir el mateix domini de nou produeix el mateix testimoni (no cal actualitzar el DNS).
Protecció contra canvis de propietat
Com que el testimoni està vinculat a un compte d'usuari específic, transferir un domini a un nou propietari invalida la verificació anterior. Si una altra persona afegeix el mateix domini al seu compte de QuietLS, rebrà un testimoni diferent i haurà de crear el seu propi registre CNAME. El CNAME del propietari anterior ja no coincideix i el seu domini queda sense verificar.
Resolució DNS pública
QuietLS verifica els registres CNAME a través de resol·ladors DNS públics (Google i Cloudflare), no mitjançant consultes directes als vostres servidors de noms. Això garanteix que el registre està propagat globalment i és visible, coincidint amb el que les autoritats certificadores veurien durant la validació SSL real.