HTTPS DNS-запись: назначение, формат и настройка

Запись HTTPS имеет тип HTTPS и хранится в DNS так же, как A, AAAA, CNAME или TXT. Ее назначение — описать сервис, доступный по HTTPS. Технически это специализированный вариант механизма SVCB, предназначенный для веб-соединений.

Клиент, который поддерживает этот тип записи, может получить параметры сервиса до установки соединения. Например, запись способна указать приоритет сервера, имя цели, порт, протоколы h2 и h3, а также набор IP-адресов через параметр ipv4hint или ipv6hint. Эти подсказки не заменяют обычные A и AAAA, поскольку именно они остаются основным источником адресов для многих сценариев.

Если DNS-сервер или клиент не поддерживает HTTPS-записи, запрос обычно игнорируется, а подключение выполняется по традиционной схеме. Поэтому добавление записи не должно само по себе нарушать работу сайта, но параметры необходимо задавать в соответствии с фактической конфигурацией сервера.

Главная практическая цель — ускорить и сделать предсказуемее установку защищенного соединения. Клиент заранее получает сведения о сервисе и может быстрее выбрать подходящий транспорт. Это особенно важно для HTTP/3 поверх QUIC, поскольку браузеру не всегда приходится сначала проверять несколько вариантов подключения.

• Поддержка HTTP/3. В записи можно сообщить, что сервис принимает соединения по h3, сохранив при этом совместимость с HTTP/2.
• Альтернативная точка обслуживания. Поле цели позволяет направить клиента к другому имени сервера, если веб-сервис обслуживается через распределенную инфраструктуру.
• Описание порта. Параметр port применяется, когда HTTPS-сервис работает не на стандартном порту.
• Передача подсказок. Клиент может получить предварительные сведения об адресах и быстрее начать соединение.
• Единая DNS-модель. Настройки сервиса публикуются рядом с остальными DNS-данными и могут управляться через привычную DNS-панель.

Запись HTTPS не выдает сертификат и не шифрует трафик самостоятельно. Сертификат, поддержка протоколов и политика безопасности по-прежнему настраиваются на сервере и в инфраструктуре TLS.

Запись состоит из приоритета, цели и списка параметров. Приоритет задается числом: меньшее значение имеет преимущество. Нулевой приоритет используется для alias-режима, при котором имя указывает на другое доменное имя без обычного набора параметров сервиса. Ненулевое значение описывает конкретный сервис и позволяет сравнивать несколько вариантов.

В панели DNS запись обычно выглядит как отдельная строка с именем, типом HTTPS, приоритетом и значением. В текстовом представлении может использоваться такой логический формат: приоритет цель alpn=h3,h2 port=443. Это не универсальная готовая строка для каждой панели: интерфейсы провайдеров могут разделять поля и автоматически добавлять кавычки.

Наиболее распространенные параметры:

• alpn — поддерживаемые протоколы прикладного уровня, например h2 и h3;
• port — порт сервиса, если он отличается от стандартного;
• ipv4hint и ipv6hint — подсказки с адресами для соответствующего протокола IP;
• ech — сведения для механизма Encrypted ClientHello, если его поддерживают сервер и инфраструктура;
• no-default-alpn — указание, что стандартные значения ALPN нельзя предполагать.

Порядок параметров обычно несущественен, но синтаксис, разделители и регистр имен должны соответствовать требованиям DNS-провайдера. Не следует публиковать параметры, которые не настроены на сервере: например, объявление h3 без работающего HTTP/3 приведет к неудачным попыткам подключения у части клиентов.

Перед изменением DNS проверьте, какие протоколы и порты действительно доступны на веб-сервере. Убедитесь, что сертификат действителен для основного домена и возможного альтернативного имени, а балансировщик или CDN корректно обслуживает заявленные варианты.

1. Откройте DNS-зону домена в панели регистратора, хостинга или DNS-провайдера.
2. Создайте новую запись с типом HTTPS. Если такого типа нет, провайдер может еще не поддерживать эту возможность.
3. Укажите имя узла. Для корневого домена панель может использовать символ @ или оставить поле пустым.
4. Задайте приоритет и цель. Для прямого описания текущего сервиса обычно используется точка в качестве цели, если этого требует формат панели.
5. Добавьте только подтвержденные параметры, например alpn=h2 или alpn=h3,h2.
6. Сохраните запись и дождитесь обновления DNS с учетом TTL и кэширования.

Для большинства сайтов достаточно начать с минимального набора, описывающего реально поддерживаемые протоколы. Сложные параметры лучше добавлять по одному и после каждого изменения проверять поведение клиентов. Параллельно сохраняйте рабочие записи A, AAAA и при необходимости CNAME: HTTPS-запись не является полной заменой адресных записей.

Проверку выполняют с помощью DNS-инструмента, который умеет запрашивать тип HTTPS. В результате должны отображаться ожидаемые приоритет, цель и параметры. Отдельно проверьте ответы через IPv4 и IPv6, если в зоне опубликованы оба типа адресов.

После DNS-проверки протестируйте сайт в браузере и инструментом диагностики TLS. Убедитесь, что соединение устанавливается по заявленному протоколу, сертификат соответствует имени, а переход на запасной вариант работает при недоступности основного. Помните, что кэш браузера, операционной системы, резолвера и CDN может сохранять старый ответ дольше, чем кажется по TTL.

Наиболее частые ошибки — публикация записи в зоне не того домена, неверное имя узла, объявление несуществующего порта, конфликт параметров и попытка использовать синтаксис одной DNS-панели в другой. Еще одна распространенная проблема — добавление подсказок IP-адресов, которые устарели после миграции сервера. Такие значения нужно обновлять вместе с инфраструктурой.

Если HTTPS-запись пока не поддерживается всеми компонентами системы, ее можно внедрять постепенно. Старые клиенты продолжат использовать A и AAAA, а совместимые клиенты получат дополнительные сведения. При сомнениях начните с чтения записи и проверки ее синтаксиса, не меняя протоколы или порты одновременно.