Il record SOA (Start of Authority) funge da cuore amministrativo di qualsiasi zona DNS. È un record obbligatorio: senza un SOA valido, il dominio smette di esistere nella tabella di routing globale. Il payload SOA definisce i parametri operativi fondamentali del dominio, stabilendo quale server è la fonte di verità definitiva, chi lo gestisce e i rigorosi meccanismi temporali che regolano come i server di nomi secondari e ridondanti replicano i dati della zona.

Numero seriale di zona e replicazione dello stato

L'intero più critico all'interno del payload SOA è il Numero Seriale. Per convenzione di settore viene spesso formattato come data-ora (es. 2023102401 per la prima modifica del 24 ottobre 2023). Ogni volta che un amministratore modifica un record A, MX o TXT, questo numero seriale deve essere incrementato. I server di nomi secondari (slave) interrogano periodicamente il record SOA del server primario. Se rilevano un numero seriale superiore a quello memorizzato nella cache locale, scattano immediatamente un trasferimento di zona AXFR o IXFR per recuperare le tabelle di routing aggiornate. Se il seriale non viene incrementato durante una modifica, i server secondari non si sincronizzeranno mai, portando a risposte DNS frammentate e incoerenti.

Timing amministrativo: Refresh, Retry ed Expire

Il record SOA definisce tre timer specifici che governano la resilienza della zona:

• Refresh: l'intervallo (in secondi) che i server secondari attendono prima di interrogare il server primario per cambiamenti del seriale.
• Retry: se il server primario è offline durante un'interrogazione, questo definisce quanto tempo il server secondario attende prima di riprovare.
• Expire: il tempo massimo assoluto per cui un server secondario continua a servire record in cache se il server primario va definitivamente offline. Una volta raggiunto questo timer, il server secondario smette di rispondere alle query, disattivando di fatto il dominio per evitare di servire dati gravemente obsoleti.

Negative caching e TTL minimo

Un parametro del record SOA spesso frainteso è il valore del TTL minimo. Storicamente usato per impostare un tempo di caching di base, la RFC 2308 ha ridefinito quest'intero esclusivamente per il negative caching. Se un utente interroga un sottodominio che non esiste (es. fake.example.com), il server autoritativo risponde con un errore NXDOMAIN. Il resolver usa il TTL minimo SOA per determinare esattamente quanto a lungo memorizzare in cache quel fallimento. Un valore basso previene interruzioni prolungate se un amministratore corregge rapidamente un refuso, mentre un valore alto protegge il server autoritativo da alluvioni DDoS che interrogano sottodomini casuali e inesistenti.