Čo je delegácia CNAME?

Koncepčný prehľad delegácie CNAME: čo je, ako ju QuietLS používa a prečo je dôležitá.

Čo je CNAME záznam?

CNAME (Canonical Name) záznam je typ DNS záznamu, ktorý priraďuje jeden názov domény k druhému. Keď DNS resolver narazí na CNAME záznam, nasleduje alias a prekladá cieľový názov.

Príklad:

blog.example.com.   CNAME   example.github.io.

V tomto príklade každý, kto hľadá blog.example.com, je transparentne presmerovaný na example.github.io na úrovni DNS.

Čo je delegácia CNAME?

Delegácia CNAME je praktika nasmerovania konkrétnej poddomény na službu tretej strany prostredníctvom CNAME záznamu, čím sa efektívne deleguje kontrola nad týmto názvom na službu.

Kľúčová myšlienka: vytvoríte CNAME raz a od toho momentu služba tretej strany kontroluje, na čo sa poddoména prekladá — bez potreby ďalších zmien v DNS.

Tento model sa široko používa na:

• Overenie domény (preukázanie vlastníctva službe)
• Validáciu SSL certifikátov (ACME DNS-01 výzvy)
• Autentifikáciu e-mailu (DKIM, SPF prostredníctvom include)
• Konfiguráciu CDN

Ako QuietLS používa delegáciu CNAME

QuietLS používa delegáciu CNAME na overenie, že doména vám patrí. Keď pridáte doménu, QuietLS vás požiada o vytvorenie jedného CNAME záznamu:

_pki-validation.example.com.   CNAME   <token>.verification.quietls.com.

Tu je význam jednotlivých častí:

_pki-validation.example.com: Poddoména pod vašou doménou. Prefix _pki-validation je konvencia, ktorá signalizuje „tento názov sa používa na PKI (Public Key Infrastructure) validáciu." Neovplyvňuje váš web, e-mail ani žiadne iné služby.

<token>.verification.quietls.com: Cieľ, umiestnený na infraštruktúre QuietLS. Token je jedinečný identifikátor vygenerovaný z vášho účtu a názvu domény.

Čo sa stane počas overovania

1. Vytvoríte CNAME záznam u svojho poskytovateľa DNS.
2. QuietLS sa dotazuje verejných DNS serverov (Google 8.8.8.8 a Cloudflare 1.1.1.1) na CNAME záznam na adrese _pki-validation.example.com.
3. Ak sa preložená hodnota zhoduje s očakávaným tokenom, vlastníctvo je potvrdené.

Prečo delegácia CNAME?

Jednorazové nastavenie

CNAME záznam pridáte raz. Potom môže QuietLS kedykoľvek overiť vašu doménu bez toho, aby ste sa museli znova prihlasovať k svojmu poskytovateľovi DNS.

Žiadne prebiehajúce manuálne kroky

Na rozdiel od overovania pomocou súboru (nahrávanie súboru na webový server) alebo overovania e-mailom, delegácia DNS CNAME nezávisí od dostupnosti vášho servera ani od existencie konkrétnej e-mailovej adresy.

Nerušivá

Poddoména _pki-validation je vyhradený menný priestor, ktorý nezasahuje do vášho webu, e-mailu ani iných DNS záznamov. Je pre vašich používateľov neviditeľná.

Funguje pre všetky typy domén

Delegácia CNAME funguje rovnako pre jednotlivé domény (example.com), poddomény (app.example.com) a wildcard domény (*.example.com).

Bezpečnostný model

Jedinečný token pre každého používateľa a doménu

Overovací token je odvodený z kombinácie ID vášho používateľského účtu a názvu domény:

token = sha256(userId + ":" + domain)[0..32]

To znamená:

• Každý používateľ dostane odlišný token pre tú istú doménu.
• Každá doména dostane odlišný token pre toho istého používateľa.
• Token je deterministický — opätovné pridanie tej istej domény vytvára rovnaký token (nie je potrebné aktualizovať DNS).

Ochrana proti zmenám vlastníctva

Keďže je token viazaný na konkrétny používateľský účet, prevod domény novému vlastníkovi zruší platnosť predchádzajúceho overenia. Ak niekto iný pridá rovnakú doménu do svojho účtu QuietLS, dostane iný token a musí vytvoriť vlastný CNAME záznam. CNAME predchádzajúceho vlastníka sa už nezhoduje a jeho doména sa stáva neoverenou.

Verejné prekladanie DNS

QuietLS overuje CNAME záznamy prostredníctvom verejných DNS resolverov (Google a Cloudflare), nie priamymi dotazmi na vaše menné servery. Tým sa zabezpečuje, že záznam je globálne rozšírený a viditeľný, čo zodpovedá tomu, čo by certifikačné autority videli počas skutočnej SSL validácie.