DNS-записи: что делают A, CNAME, MX, TXT, NS и CAA, какие ограничения у них есть и как менять их без простоя

Коротко: что такое DNS-записи и какие нужны сайту магазина

DNS — «телефонная книга» интернета: она сопоставляет имя сайта с адресом сервера и подсказывает, куда доставлять почту и какие сервисы подтверждены за доменом. Информация хранится в виде ресурсных записей разных типов. Для владельца магазина DNS важен по трём причинам: от него зависит, откроется ли сайт; от него зависит, дойдут ли письма; и любая ошибка при переезде или смене хостинга обычно проявляется именно здесь. К SEO это относится напрямую: недоступный сайт теряет трафик, а неверные записи ломают редиректы, поддомены и подтверждение прав в вебмастерах.

Основные записи (по руководствам Google Workspace и практике хостингов):

1. A связывает домен с IPv4-адресом сервера; без неё сайт не откроется. AAAA — то же для IPv6.
2. CNAME — псевдоним: имя указывает на другое имя (например, www на основной домен).
3. MX — почтовые серверы домена с приоритетами.
4. TXT — произвольный текст: подтверждение прав на домен, SPF, DKIM, DMARC.
5. NS — серверы имён, которые хранят остальные записи зоны.
6. CAA — какие удостоверяющие центры могут выпускать сертификаты для домена.

Главные правила, которые нарушают чаще всего: CNAME нельзя совмещать с другими записями того же имени (поэтому не ставьте его на корневой домен, где обычно есть MX, NS и TXT), в значении MX и NS не должно быть псевдонима, а изменения вступают в силу не мгновенно: сначала истекает TTL старых записей. В статье: что делает каждая запись, откуда берутся ограничения (RFC), где настраивать, как менять без простоя, какой TTL выбрать, как проверять, типичные сценарии магазина, десять ошибок и PDF-чек-лист на 27 пунктов. Инструмент: проверка DNS-записей домена.

Основа статьи — RFC 2181 (разделы о CNAME, MX и NS), RFC 8659 (запись CAA), руководство Google Workspace по основам DNS и обзоры хостингов и регистраторов (Timeweb, REG.RU и др.; страницы REG.RU и Cloudflare напрямую открыть не удалось, поэтому их содержание я не использую). Срок делегирования «от 3 до 24 часов» взят из пересказа документации Timeweb. Практические инструкции у каждого регистратора свои: сверяйтесь с панелью вашего провайдера.

Типы записей

Названия серверов и адреса в таблице выдуманы для иллюстрации (адреса из документационных диапазонов).

Правила из стандартов: откуда берутся ограничения

CNAME не живёт рядом с другими записями

RFC 2181: для любого имени верно ровно одно из условий — есть одна CNAME-запись, или одна и более записей любого другого типа, или имя существует без записей, или имени нет. (Исключение для DNSSEC: рядом с CNAME могут находиться записи SIG, NXT и KEY.) Следствие: на корневой домен (example.ru), где обычно есть NS, MX и TXT, CNAME ставить нельзя; обычно ставят A-запись с IP, а CNAME оставляют для www. Некоторые провайдеры предлагают специальные «плоские» записи (ALIAS, ANAME) для корня; это возможность конкретного провайдера, а не стандарт. Также нельзя создавать несколько CNAME для одного имени: у псевдонима одно каноническое имя.

MX и NS не должны указывать на CNAME

RFC 2181: имя в значении NS и в части значения MX «must not be an alias»: оно должно иметь адресные записи и не может быть CNAME. Иначе сервер не добавит адреса в дополнительную секцию ответа, клиенту придётся делать лишние запросы, а в сложных случаях запрос завершится ошибкой. Администратор должен подставить каноническое имя прямо в запись.

CAA: кто может выпускать сертификаты

По RFC 8659, CAA позволяет владельцу домена указать удостоверяющие центры, которым разрешён выпуск сертификатов. Перед выпуском центр ищет набор CAA-записей для запрошенного имени, а если их нет, поднимается по дереву имён. Теги: issue (разрешает выпуск указанному издателю; значение «;» запрещает выпуск всем), issuewild (только для wildcard-имён), iodef (куда слать отчёты о нарушениях). Если релевантного набора нет или в нём нет ограничивающих тегов, CAA не запрещает выпуск. Практически: если вы добавляете CAA, укажите всех центров, которыми пользуетесь (в том числе CDN и хостинг), иначе сертификат не обновится. Проверка HTTPS: проверка SSL-сертификата.

MX: приоритет

У каждой записи MX есть приоритет; можно задать несколько серверов, и если основной недоступен, почта идёт на следующий (руководство Google Workspace). Для почты Яндекса и других провайдеров используйте значения из их инструкций.

Где настраивать: регистратор, хостинг, DNS-провайдер

• Разделите две вещи. У регистратора вы указываете NS — на каких серверах хранится зона (делегирование). А записи A, CNAME, MX, TXT создаются там, где хранится зона: у регистратора, на хостинге или в сервисе DNS.
• Если домен делегирован на серверы имён хостинга, записи нужно менять в панели хостинга. Timeweb в документации предупреждает: при сторонних NS изменения в их панели силы не имеют; настройку нужно выполнять у провайдера этих NS (по пересказу).
• Одна зона — один источник правды. Не ведите записи сразу в двух панелях.
• Доступ к DNS — критичный. Защитите аккаунт регистратора и хостинга (двухфакторная защита): «Надёжный пароль». Следите за сроком оплаты домена: Whois.

TTL и сроки применения

TTL — время в секундах, в течение которого кэши в интернете хранят значение записи. Изменения вступают в силу не сразу: сначала должен истечь старый TTL. Руководство Google Workspace: при TTL 86 400 секунд изменения могут заметно отставать, до 24 часов. Рекомендации там же: 3600 секунд (1 час) для записей, которые будут меняться; 300 секунд (5 минут), если нужно быстро откатить; 86 400 секунд для стабильных записей; перед крупным изменением заранее уменьшите TTL, чтобы новые значения применились быстрее. Google для переезда без смены адресов страниц также советует снизить TTL за неделю до переключения («Миграция сайта»). Смена серверов имён (делегирование), по документации Timeweb в пересказе, может занимать от 3 до 24 часов; на практике время зависит от провайдеров и кэшей.

Типовые сценарии магазина

Как проверить DNS

1. Посмотрите все записи домена: проверка DNS-записей показывает A, AAAA, MX, NS, TXT, CNAME, SOA и CAA, а также запись для www.
2. Проверьте A/AAAA: адрес должен принадлежать вашему серверу; AAAA не должна вести на сервер, где IPv6 не настроен: IP и хостинг.
3. Проверьте NS и делегирование: те ли серверы имён указаны у регистратора, где вы редактируете зону.
4. Проверьте почту: MX, SPF, DKIM, DMARC: проверка почтовых записей.
5. Проверьте www и корень: оба варианта открываются и приводят к одному адресу (редирект); нет ошибки сертификата: коды ответа, SSL.
6. Проверьте несоответствия: CNAME рядом с другими записями, MX или NS на CNAME, дубли SPF.
7. Проверьте распространение: результат может отличаться в разных регионах, пока не истёк TTL. Google предлагает проверять через публичные DNS-сервисы, что провайдеры в разных странах видят новые настройки.
8. Зафиксируйте состояние до и после изменений (скриншот или выгрузка) для отката.

Ошибки в DNS могут нарушить и сайт, и почту одновременно: меняйте по одной записи, храните прежние значения. Для SEO последствия — недоступность сайта, потеря индексации, ошибки сканирования; разбор причин: «Сайт не открывается», «Упал трафик сайта».

Десять частых ошибок

1. CNAME на корневом домене вместе с MX, NS или TXT.
2. MX или NS указывают на CNAME.
3. Редактируют зону не там, где она хранится (изменения «не работают»).
4. Забыли снизить TTL перед переездом и ждут сутки.
5. AAAA ведёт на сервер без IPv6 или на старый хостинг.
6. Две записи SPF у одного домена или слишком много include.
7. Удалили TXT подтверждения и потеряли доступ к вебмастеру.
8. CAA без всех нужных центров, сертификат не обновился.
9. Не продлили домен или потеряли доступ к аккаунту регистратора.
10. Не проверили результат из разных мест и не сохранили прежние значения.

Что проверяю в аудите я

DNS — основа технической части SEO-аудита: я смотрю записи домена, делегирование, www и корень, редиректы, сертификат, почтовые записи и подтверждения для вебмастеров, оцениваю риски при переезде и даю приоритетный план. Результат: PDF-отчёт на 30–50 страниц, технические задания для программистов, прогноз по трафику и заявкам и созвон, на котором я лично расскажу о найденных ошибках и отвечу на вопросы. Стоимость от 30 000 ₽, срок 3–5 рабочих дней для небольшого сайта и 7–10 для крупного магазина.

Итоговый чек-лист (короткая версия, полная в PDF)

• Зона хранится в одном месте; NS у регистратора указывают на него.
• A (и AAAA, если нужна) ведут на актуальный сервер; www и корень работают одинаково.
• CNAME не стоит на корне и не совмещён с другими записями; MX и NS не указывают на CNAME.
• SPF одна, DKIM и DMARC настроены; подтверждения для вебмастеров на месте.
• Перед изменениями снижен TTL; прежние значения сохранены.
• Домен и аккаунт регистратора защищены, срок оплаты отслеживается.

Об автореВладимир Родионов

Интернет-маркетолог, частный SEO-специалист cetto.ru. 10+ лет в IT, 200+ реализованных проектов, сертификация Яндекса и Google.

Все статьи автора →Задать вопрос в Telegram →