DNS-записи домена: A, AAAA, CNAME, NS, MX, TXT — как проверить и что означают

DNS-записи — это настройки домена, которые говорят интернету, где искать сайт, куда доставлять почту и кому верить при проверке писем. Любой переезд, подключение почты или установка сертификата упираются именно в них. Проверить, что сейчас видит мир, можно прямо здесь: введите домен без «https://» — и получите записи A, AAAA, CNAME, NS, MX, SOA и TXT, а заодно ответ, настроены ли SPF и DMARC.

Как работает DNS за две минуты

Система доменных имён устроена как дерево. Корневые серверы знают, кто отвечает за зону .uz или .com; те знают, какие серверы имён назначены конкретному домену; и уже эти серверы хранят сами записи. Когда посетитель заходит на сайт, его резолвер — обычно сервер провайдера — проходит цепочку сверху вниз, получает ответ и запоминает его на время, указанное в записи. Это время называется TTL, и именно из-за него изменения видны не сразу.

Ключевой вывод: настоящие записи лежат там, куда указывают NS-серверы домена. Если NS смотрят на Cloudflare, то правки в панели хостинга ни на что не влияют, сколько их ни сохраняй, — и это причина примерно половины историй «я всё поменял, а ничего не изменилось».

Какие бывают записи

• A — адрес IPv4, на котором стоит сайт. Основная запись домена.
• AAAA — то же самое для IPv6.
• CNAME — псевдоним: «этот поддомен — то же, что вон то имя». Так обычно подключают www и внешние сервисы. На корневом домене CNAME по стандарту ставить нельзя, хотя некоторые провайдеры умеют это обходить своими средствами.
• NS — серверы имён, которым делегирован домен. Меняются у регистратора, а не в панели хостинга.
• MX — куда доставлять почту для домена. У каждой записи есть приоритет: чем число меньше, тем сервер главнее, остальные работают как запасные.
• TXT — произвольный текст. В нём живут SPF, DMARC, ключи DKIM и подтверждения прав для Google, Яндекса и прочих сервисов.
• SOA — служебная запись зоны: основной сервер, почта администратора, серийный номер и время жизни кеша.
• CAA — список удостоверяющих центров, которым разрешено выпускать сертификаты для домена. Необязательная, но полезная защита.

SPF, DKIM и DMARC: почему письма уходят в спам

Отправить письмо от чужого имени технически может кто угодно — сам протокол почты этому не мешает. Поэтому появились три записи, которыми домен подтверждает, кто имеет право писать от его лица.

SPF — список серверов, которым разрешено отправлять почту с вашего домена. Одна TXT-запись, начинающаяся с v=spf1. Важное правило: SPF-запись должна быть ровно одна. Две записи — это не «двойная защита», а ошибка, из-за которой проверка ломается целиком; несколько сервисов перечисляют внутри одной строки.

DKIM — цифровая подпись писем. Почтовый сервис даёт вам публичный ключ, вы кладёте его в TXT-запись на специальном поддомене, и получатель проверяет подпись каждого письма.

DMARC — правило, что делать с письмами, не прошедшими две предыдущие проверки: пропускать, класть в спам или отклонять. Лежит в TXT-записи на поддомене _dmarc. Наша проверка смотрит её отдельно, потому что отсутствие DMARC — самая частая причина, по которой корпоративные письма не доходят до крупных почтовых служб.

Минимальный разумный набор: один SPF, DKIM от почтового провайдера и DMARC хотя бы в мягком режиме наблюдения.

TTL и почему изменения не видны сразу

У каждой записи есть время жизни — от нескольких минут до суток. Пока оно не истекло, резолверы по всему миру отдают старое значение, даже если в панели уже записано новое. Отсюда правило переезда: за день до смены адреса уменьшите TTL до 300 секунд, переключите запись, дождитесь, пока всё устаканится, и верните прежнее значение. И не выключайте старый сервер сразу — сутки он ещё будет принимать часть посетителей.

Типичные ошибки

• Правка не в той панели. Записи меняются там, куда указывают NS. Проверьте их первым делом.
• Потерянная MX после переноса сайта. Сайт переехал, почта осталась у старого провайдера, а MX случайно переписали на новый сервер — письма исчезают.
• Две SPF-записи. Ломают проверку целиком, письма попадают в спам.
• Удалённая A-запись голого домена. Сайт открывается с www и не открывается без него, или наоборот.
• Забытая старая запись. После переезда остаётся указатель на прежний сервер, и часть посетителей годами видит старую версию сайта.
• Слишком большой TTL перед переездом. Сутки ожидания вместо пяти минут.

Как проверить вручную

В Windows: nslookup -type=mx example.com для почты, nslookup -type=txt example.com для текстовых записей, nslookup -type=ns example.com для серверов имён. В macOS и Linux то же самое короче: dig MX example.com +short, dig TXT example.com +short, dig NS example.com +short. Чтобы обойти кеш провайдера и спросить напрямую публичный резолвер, добавьте @8.8.8.8 или @1.1.1.1.

Инструмент выше делает эти запросы с нашего сервера и показывает ответ одной таблицей — удобно, когда нужно быстро сверить картину или показать её коллеге.

Частые вопросы

Изменил запись час назад — почему видна старая? Не истёк TTL, плюс наш результат кешируется на 12 часов. Проверьте позже или сравните через публичный резолвер.

Записи пустые, а сайт работает. Обычно это значит, что домен введён с www или без него не так, как настроен. Попробуйте оба варианта.

Нужно ли менять что-то в DNS при выпуске SSL? Для обычной проверки по файлу — нет. Для wildcard-сертификата понадобится временная TXT-запись.

Можно ли перенести сайт без простоя? Да: поднимите копию на новом сервере, убедитесь, что она работает, уменьшите TTL заранее и только потом переключите A-запись.

Дальше: как узнать IP-адрес сайта, проверка домена в WHOIS и все инструменты на одной странице.

Смотрите также: какие поддомены есть у домена и свободно ли имя в других зонах.