Record glue e delega DNS spiegati

Avanzato⏱ 4 min di letturaAggiornato il 13 ottobre 2026

Il tuo dominio non comincia nella tua zona DNS. Comincia un livello più su, nella zona di .com o .it, dove il registro conserva alcuni record che dicono quali nameserver rispondono per te. Questo passaggio si chiama delega. Quando quei nameserver hanno nomi all'interno del dominio che servono — ns1.example.com per example.com — il registro deve conservare anche i loro indirizzi. Quegli indirizzi sono il glue e, se sono sbagliati, l'intero dominio sparisce.

Come funziona la delega

Quando imposti i nameserver presso il registrar, il registro pubblica i record NS del tuo dominio nella zona padre. Se i nomi dei nameserver sono dentro il tuo dominio, aggiunge anche i loro indirizzi:

; in the .com zone (run by the registry), not in yours
example.com.        172800 IN NS  ns1.example.com.
example.com.        172800 IN NS  ns2.example.com.
; glue: addresses of nameservers named inside the delegated zone
ns1.example.com.    172800 IN A   192.0.2.53
ns2.example.com.    172800 IN A   198.51.100.53

Senza quei record A un resolver resterebbe bloccato: per trovare example.com deve chiedere a ns1.example.com, e per trovare ns1.example.com deve chiedere ai nameserver di example.com. Il glue arriva nella stessa risposta di delega e rompe il circolo.

Per raggiungere example.com serve ns1.example.com, che sta dentro example.com. Il server .com fornisce il suo indirizzo (glue) insieme alla delega, così il resolver può interrogarlo subito.

Quando serve il glue

Dominio	Nameserver	Glue	Perché
`example.com`	`ns1.example.com`	Obbligatorio	Il nameserver sta dentro la zona che serve: il circolo descritto sopra.
`example.com`	`ns1.dnshost.example`	Non usato	Il resolver trova `dnshost.example` separatamente, tramite la sua delega.
`example.com`	`ns1.example.org`	Facoltativo	Glue «fratello»: alcuni registri lo pubblicano, ma i resolver devono cavarsela senza (RFC 9471).

Gestire nameserver propri (nameserver figli)

Il DNS in hosting (Cloudflare, il registrar, il provider di hosting) ti dà nameserver sotto il proprio dominio, quindi non hai glue da gestire. Ti serve solo per nameserver con nome dentro il tuo dominio: nameserver con il tuo marchio o DNS gestito in proprio. I registrar lo chiamano «child nameserver», «host», «registrazione nameserver» o semplicemente «record glue».

Crea i nomi host (ns1.example.com, ns2.example.com) con i loro indirizzi IPv4 e, se li hanno, IPv6 nel pannello del registrar.
Aggiungi gli stessi record A/AAAA e NS nella tua zona, così la zona padre e i tuoi server dicono la stessa cosa.
Solo allora sposta i nameserver del dominio su quei nomi.
Verifica il risultato dal lato del registro con dig +norec (sotto) e dall'esterno con un trace DNS.

Attenzione: Cambiare l'IP di un nameserver significa cambiarlo in due posti: nella zona e nel glue presso il registrar. I resolver usano prima il glue, quindi una zona corretta con un glue obsoleto si rompe comunque, e con un TTL della zona padre fino a due giorni il disservizio dura.

Problemi di delega comuni

Lame delegation: un nameserver indicato nella zona padre non risponde per la zona (server sbagliato, zona cancellata, firewall). I resolver riprovano altrove, quindi si vede come lentezza e qualche SERVFAIL.
Padre e figlio non concordano: il registro indica ns1/ns2, la tua zona ns3/ns4. Quale insieme usa un resolver dipende dalla sua cache, quindi il comportamento cambia da rete a rete.
Glue obsoleto: il server si è spostato, il glue no. Tipico dopo la migrazione di un VPS.
Glue mancante: nameserver nella zona senza indirizzi nel registro: il dominio non si risolve da nessuna parte.
Tutte le uova nello stesso paniere: due nameserver sullo stesso IP o nella stessa rete. La RFC 2182 chiede server che non cadano insieme.

Come verificare delega e glue

Interroga direttamente un server della zona padre, con la ricorsione disattivata, per vedere esattamente ciò che pubblica il registro: il glue compare nella sezione ADDITIONAL. Poi confronta con ciò che dicono i tuoi server:

# ask a .com server directly, without recursion: glue is in the ADDITIONAL section
dig @a.gtld-servers.net example.com NS +norec
# follow the whole chain from the root
dig example.com A +trace
# compare with what your own nameservers say
dig @ns1.example.com example.com NS +short

Suggerimento: Il trace DNS di PixDNS segue la catena dalla root e mostra ogni delega, così un glue mancante o obsoleto si vede nel passaggio esatto in cui si verifica. La ricerca NS confronta i nameserver che rispondono.

Traccia la delega di un dominio →Avanti: cosa sono i nameserver →

Domande frequenti

Mi servono record glue con Cloudflare o il DNS del registrar?

No. I loro nameserver stanno sotto i loro domini e gli indirizzi li gestiscono loro. Il glue conta solo per i nameserver con nome dentro il tuo dominio.

Dove si modificano i record glue?

Presso il registrar, in una sezione chiamata child nameserver, host o simile. La tua zona DNS non può modificarli, perché stanno nella zona padre.

Quanto ci mette una modifica del glue?

Il registro di solito la pubblica in pochi minuti, ma i resolver possono tenere il vecchio indirizzo fino alla scadenza del TTL della zona padre: fino a 48 ore per .com.

Cos'è una lame delegation?

Un nameserver indicato per un dominio che in realtà non risponde per esso. Rallenta le richieste e può causare errori intermittenti.

Provalo sul tuo dominio

Vedi la teoria in pratica: esegui Traccia DNS sul tuo dominio.

Aggiornato il 13 ottobre 2026

Fonti