Que é a delegación CNAME?

Unha visión xeral conceptual da delegación CNAME: que é, como a utiliza QuietLS e por que é importante.

Que é un rexistro CNAME?

Un rexistro CNAME (Canonical Name) é un tipo de rexistro DNS que asigna un nome de dominio a outro. Cando un resolvedor DNS atopa un CNAME, segue o alias e resolve o nome de destino.

Exemplo:

blog.example.com.   CNAME   example.github.io.

Neste exemplo, calquera persoa que consulte blog.example.com será redirixida de forma transparente a example.github.io a nivel de DNS.

Que é a delegación CNAME?

A delegación CNAME é a práctica de apuntar un subdominio específico a un servizo de terceiros mediante un rexistro CNAME, delegando efectivamente o control dese nome ao servizo.

A idea clave: creas o CNAME unha soa vez, e a partir dese momento o servizo de terceiros controla a que resolve ese subdominio — sen que precises facer máis cambios no DNS.

Este patrón utilízase amplamente para:

• Verificación de dominios (demostrar propiedade a un servizo)
• Validación de certificados SSL (desafíos ACME DNS-01)
• Autenticación de correo electrónico (DKIM, SPF mediante include)
• Configuración de CDN

Como utiliza QuietLS a delegación CNAME

QuietLS utiliza a delegación CNAME para verificar que es propietario do teu dominio. Cando engades un dominio, QuietLS pideche que crees un único rexistro CNAME:

_pki-validation.example.com.   CNAME   <token>.verification.quietls.com.

Isto é o que significa cada parte:

_pki-validation.example.com: Un subdominio baixo o teu dominio. O prefixo _pki-validation é unha convención que sinala «este nome se utiliza para a validación PKI (Public Key Infrastructure)». Non afecta ao teu sitio web, correo electrónico nin ningún outro servizo.

<token>.verification.quietls.com: O destino, aloxado na infraestrutura de QuietLS. O token é un identificador único xerado a partir da túa conta e do nome de dominio.

Que ocorre durante a verificación

1. Creas o rexistro CNAME no teu provedor DNS.
2. QuietLS consulta servidores DNS públicos (Google 8.8.8.8 e Cloudflare 1.1.1.1) para encontrar un rexistro CNAME en _pki-validation.example.com.
3. Se o valor resolto coincide co token esperado, a propiedade queda confirmada.

Por que delegación CNAME?

Configuración única

Engades o rexistro CNAME unha vez. Despois diso, QuietLS pode verificar o teu dominio en calquera momento sen necesidade de que volvas a iniciar sesión no teu provedor DNS.

Sen pasos manuais continuados

A diferenza da verificación baseada en ficheiros (subir un ficheiro ao teu servidor web) ou da verificación por correo electrónico, a delegación CNAME non depende de que o teu servidor sexa accesible nin de que exista un enderezo de correo específico.

Non intrusivo

O subdominio _pki-validation é un espazo de nomes dedicado que non interfire co teu sitio web, correo electrónico nin ningún outro rexistro DNS. É invisible para os teus usuarios.

Funciona para todos os tipos de dominio

A delegación CNAME funciona do mesmo xeito para dominios individuais (example.com), subdominios (app.example.com) e dominios comodín (*.example.com).

Modelo de seguranza

Token único por usuario e dominio

O token de verificación derívase dunha combinación do ID da túa conta de usuario e do nome de dominio:

token = sha256(userId + ":" + domain)[0..32]

Isto significa:

• Cada usuario recibe un token diferente para o mesmo dominio.
• Cada dominio recibe un token diferente para o mesmo usuario.
• O token é determinista — engadir o mesmo dominio de novo produce o mesmo token (non é necesario actualizar o DNS).

Protección contra cambios de propiedade

Como o token está vinculado a unha conta de usuario específica, transferir un dominio a un novo propietario invalida a verificación anterior. Se outra persoa engade o mesmo dominio á súa conta de QuietLS, recibirá un token diferente e deberá crear o seu propio rexistro CNAME. O CNAME do propietario anterior xa non coincide e o seu dominio queda sen verificar.

Resolución DNS pública

QuietLS verifica os rexistros CNAME a través de resolvedores DNS públicos (Google e Cloudflare), non mediante consultas directas aos teus servidores de nomes. Isto garante que o rexistro está propagado globalmente e é visible, coincidindo co que as autoridades certificadoras verían durante a validación SSL real.