Rekordy DNS - co to jest i jak skonfigurować A, CNAME, MX, TXT

DNS, czyli Domain Name System, to jeden z fundamentów działania internetu. Każda strona internetowa, każda skrzynka e-mail i praktycznie każda usługa online opiera się na systemie DNS. Mimo że większość użytkowników nigdy nie musi go dotykać, właściciele stron i administratorzy muszą umieć sprawnie konfigurować rekordy DNS. W tym artykule wyjaśniamy, czym jest DNS, jakie typy rekordów istnieją - od podstawowych A i CNAME, przez MX i TXT, aż po rzadziej omawiane CAA, SRV i PTR - i jak je poprawnie skonfigurować oraz zdiagnozować, gdy coś nie działa.

Czym jest DNS i jak działa?

DNS (Domain Name System) to system tłumaczący nazwy domenowe na adresy IP. Gdy wpisujesz w przeglądarkę adres studiokalmus.com, Twoja przeglądarka nie wie, gdzie szukać tej strony. Pyta więc serwer DNS: „Pod jakim adresem IP kryje się ta domena?”. Serwer DNS odpowiada na przykład: 185.60.216.35 i dopiero wtedy przeglądarka może połączyć się z odpowiednim serwerem.

Cały proces wygląda tak:

1. Wpisujesz adres strony w przeglądarce
2. Przeglądarka sprawdza lokalną pamięć podręczną (cache) - czy nie zna już odpowiedzi
3. Jeśli nie - pyta resolver DNS Twojego dostawcy internetu
4. Resolver pyta root servers, które wskazują serwery obsługujące dane rozszerzenie (np. .pl, .com)
5. Te z kolei wskazują autorytarne serwery DNS dla konkretnej domeny
6. Autorytarny serwer DNS odpowiada konkretnym adresem IP
7. Przeglądarka łączy się z tym adresem IP i wyświetla stronę

Cały ten proces trwa zazwyczaj kilkadziesiąt milisekund - jest niewidoczny dla użytkownika, ale kluczowy dla działania internetu. Architekturę systemu głównych serwerów DNS opisuje szczegółowo IANA, organizacja odpowiedzialna za koordynację globalnej przestrzeni nazw.

Czym jest strefa DNS?

Strefa DNS (ang. DNS zone) to zbiór rekordów DNS przypisanych do danej domeny. Zarządza się nią zazwyczaj w panelu rejestratora domeny lub w zewnętrznym serwisie DNS (np. Cloudflare). Strefa zawiera wszystkie informacje niezbędne do obsługi domeny: adresy IP, konfigurację poczty, weryfikację usług, reguły bezpieczeństwa certyfikatów SSL itp.

Typy rekordów DNS - przegląd

Poniżej omawiamy kolejno wszystkie typy rekordów, które w praktyce spotkasz przy zarządzaniu domeną - od podstawowych A i CNAME, przez pocztowe MX i TXT, po rzadziej używane, lecz istotne dla bezpieczeństwa CAA, SRV i PTR.

Rekord A - adres IPv4

Rekord A (Address Record) to najpodstawowy typ rekordu DNS. Wskazuje, pod jakim adresem IPv4 dostępna jest dana domena lub subdomena.

Przykład:

studiokalmus.com.    3600    IN    A    185.60.216.35
www.studiokalmus.com.    3600    IN    A    185.60.216.35

Kiedy używać: Gdy chcesz wskazać domenę lub subdomenę na konkretny serwer (hosting). To pierwszy rekord, który konfigurujesz, gdy uruchamiasz nową stronę internetową.

Praktyczne zastosowanie: Po wykupieniu hostingu dostajesz adres IP serwera. Wchodzisz do panelu DNS i dodajesz rekord A, który łączy Twoją domenę z tym serwerem.

Rekord AAAA - adres IPv6

Rekord AAAA (Quad-A Record) działa tak samo jak rekord A, ale dla adresów IPv6 - nowszego standardu adresowania, który stopniowo zastępuje IPv4.

Przykład:

studiokalmus.com.    3600    IN    AAAA    2001:db8::1

Jeśli Twój hosting obsługuje IPv6, warto dodać też rekord AAAA - poprawia to dostępność strony i jest preferowane przez nowoczesne sieci oraz część dostawców internetu mobilnego, którzy operują wyłącznie na IPv6 z translacją do IPv4.

Rekord CNAME - alias

Rekord CNAME (Canonical Name Record) tworzy alias - wskazuje jedną nazwę domeny na inną nazwę domeny (nie bezpośrednio na adres IP).

Przykład:

www.studiokalmus.com.    3600    IN    CNAME    studiokalmus.com.
shop.studiokalmus.com.    3600    IN    CNAME    mystore.shopify.com.

Kiedy używać:

• Gdy chcesz, żeby www.domena.pl wskazywało na domena.pl
• Gdy korzystasz z zewnętrznej platformy (np. Shopify, GitHub Pages, HubSpot) i musisz wskazać subdomenę na ich serwery
• Do weryfikacji domeny w usługach zewnętrznych (Google Search Console, Facebook, itp.)

Ważne ograniczenie: Rekordu CNAME nie można dodać dla samej domeny głównej (tzw. apex domain, np. domena.pl). Musi to być subdomena (np. www.domena.pl). Wynika to z zasad protokołu DNS opisanych w dokumencie RFC 1035, podstawowej specyfikacji systemu DNS.

Rekord MX - poczta e-mail

Rekord MX (Mail Exchanger Record) wskazuje serwery, które obsługują pocztę dla danej domeny. Bez tego rekordu wysyłanie i odbieranie e-maili na adres w Twojej domenie jest niemożliwe.

Przykład (Google Workspace):

studiokalmus.com.    3600    IN    MX    1    ASPMX.L.GOOGLE.COM.
studiokalmus.com.    3600    IN    MX    5    ALT1.ASPMX.L.GOOGLE.COM.
studiokalmus.com.    3600    IN    MX    5    ALT2.ASPMX.L.GOOGLE.COM.

Liczba po nazwie rekordu (1, 5, 10 itd.) to priorytet - niższa liczba oznacza wyższy priorytet. Serwery pocztowe próbują dostarczyć wiadomość najpierw do serwera z najniższym priorytetem, a w razie niepowodzenia - do kolejnych.

Praktyczne zastosowanie: Konfigurując pocztę na własnej domenie (np. z Google Workspace, Microsoft 365 lub cPanel), dostajesz od dostawcy gotowe rekordy MX do wklejenia w strefę DNS.

Rekord TXT - weryfikacja i bezpieczeństwo

Rekord TXT (Text Record) to wielofunkcyjny rekord przechowujący dowolne informacje tekstowe. Współcześnie służy przede wszystkim do:

SPF - Sender Policy Framework

SPF określa, które serwery są uprawnione do wysyłania poczty w imieniu Twojej domeny. Pomaga chronić przed podszywaniem się pod Twoją domenę w spamie.

studiokalmus.com.    3600    IN    TXT    "v=spf1 include:_spf.google.com ~all"

DKIM - DomainKeys Identified Mail

DKIM to cyfrowy podpis dołączany do wiadomości e-mail. Odbiorca może zweryfikować podpis, sprawdzając rekord TXT w DNS nadawcy.

google._domainkey.studiokalmus.com.    3600    IN    TXT    "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBA..."

DMARC - Domain-based Message Authentication

DMARC określa politykę obsługi wiadomości, które nie przeszły weryfikacji SPF lub DKIM. Pozwala też otrzymywać raporty o próbach nadużyć.

_dmarc.studiokalmus.com.    3600    IN    TXT    "v=DMARC1; p=quarantine; rua=mailto:admin@studiokalmus.com"

Weryfikacja domeny

Google Search Console, Facebook Business Manager, HubSpot i wiele innych usług prosi o dodanie rekordu TXT w celu potwierdzenia, że jesteś właścicielem domeny.

studiokalmus.com.    3600    IN    TXT    "google-site-verification=abc123xyz456"

Rekord NS - serwery nazw

Rekord NS (Name Server Record) wskazuje, które serwery DNS są autorytarne dla danej domeny - czyli gdzie przechowywana jest strefa DNS.

Przykład:

studiokalmus.com.    86400    IN    NS    ns1.cloudflare.com.
studiokalmus.com.    86400    IN    NS    ns2.cloudflare.com.

Rekordy NS edytuje się zazwyczaj w panelu rejestratora domeny (nie w strefie DNS), gdy chcesz zmienić dostawcę DNS. Na przykład przenosząc strefę DNS do Cloudflare, musisz zmienić rekordy NS w panelu rejestratora.

Rekord SOA - Start of Authority

Rekord SOA (Start of Authority Record) zawiera informacje o strefie DNS: kto jest głównym serwerem NS, adres e-mail administratora, numer seryjny strefy i parametry odświeżania. Generowany jest automatycznie przez serwer DNS i rzadko wymaga ręcznej edycji.

Rekord CAA - kto może wystawić certyfikat SSL

Rekord CAA (Certification Authority Authorization) określa, które urzędy certyfikacji (Certificate Authority) mają prawo wystawiać certyfikaty SSL/TLS dla Twojej domeny. To jeden z mniej znanych, ale coraz istotniejszych rekordów bezpieczeństwa - bez niego dowolny zaufany CA może w teorii wystawić certyfikat dla Twojej domeny, co bywa wykorzystywane w atakach.

studiokalmus.com.    3600    IN    CAA    0 issue "letsencrypt.org"
studiokalmus.com.    3600    IN    CAA    0 iodef "mailto:admin@studiokalmus.com"

Praktyczne zastosowanie: Jeśli korzystasz z jednego dostawcy certyfikatów (np. Let’s Encrypt na hostingu), warto ograniczyć wystawianie certyfikatów tylko do niego. Utrudnia to potencjalnym atakującym wystawienie fałszywego certyfikatu dla Twojej domeny u innego urzędu certyfikacji.

Rekord SRV - lokalizacja usług sieciowych

Rekord SRV (Service Record) wskazuje, na jakim hoście i porcie dostępna jest konkretna usługa - np. serwer VoIP, komunikator XMPP czy niektóre usługi Microsoft (Teams, Skype for Business). Format jest bardziej złożony niż w innych rekordach, bo zawiera priorytet, wagę, port i cel.

_sip._tcp.studiokalmus.com.    3600    IN    SRV    10 60 5060 sipserver.studiokalmus.com.

Dla typowej strony firmowej czy sklepu internetowego rekord SRV rzadko jest potrzebny ręcznie - konfigurują go głównie zintegrowane usługi komunikacyjne, które podają gotowy wpis do wklejenia w strefę DNS.

Rekord PTR - odwrotny DNS (reverse DNS)

Rekord PTR (Pointer Record) działa odwrotnie niż rekord A - zamiast tłumaczyć nazwę domeny na adres IP, tłumaczy adres IP z powrotem na nazwę domeny. Rekord PTR konfiguruje się nie w strefie DNS domeny, lecz po stronie dostawcy adresu IP (np. dostawcy serwera lub hostingu), dlatego zwykły właściciel domeny go nie edytuje bezpośrednio.

Poprawnie skonfigurowany rekord PTR ma ogromne znaczenie dla dostarczalności poczty e-mail - wiele serwerów pocztowych odrzuca lub oznacza jako spam wiadomości z adresów IP bez pasującego rekordu PTR. Jeśli wysyłasz pocztę z własnego serwera (nie przez Google Workspace czy podobną usługę), koniecznie poproś dostawcę hostingu o skonfigurowanie poprawnego reverse DNS.

DNSSEC - podpisywanie stref DNS

DNSSEC (Domain Name System Security Extensions) to zestaw rozszerzeń DNS, które dodają kryptograficzne podpisy do odpowiedzi DNS, chroniąc przed atakami typu DNS spoofing i cache poisoning, w których atakujący podszywa się pod serwer DNS i przekierowuje ruch na fałszywy adres IP. Włączenie DNSSEC odbywa się zazwyczaj dwuetapowo: najpierw aktywujesz je u dostawcy DNS (np. Cloudflare, rejestrator domeny), a następnie dodajesz w panelu rejestratora rekord DS wygenerowany przez dostawcę DNS, który spina łańcuch zaufania między domeną a jej strefą.

Nie wszystkie usługi obsługują DNSSEC domyślnie, a błędna konfiguracja (np. nieaktualny rekord DS po zmianie dostawcy DNS) może całkowicie wyłączyć dostępność domeny dla części użytkowników. Dlatego każdą zmianę związaną z DNSSEC warto testować w środowisku, w którym można łatwo cofnąć zmianę, i weryfikować narzędziami takimi jak DNSSEC debugger dostępny u większości dużych dostawców DNS.

Czym jest TTL?

TTL (Time To Live) to czas w sekundach, przez który rekord DNS jest przechowywany w pamięci podręcznej (cache) serwerów DNS i przeglądarek. Po upływie tego czasu resolver musi pobrać świeżą wartość z autorytarnego serwera DNS.

Typowe wartości TTL:

• 300 sekund (5 minut) - niskie TTL, szybka propagacja zmian, większe obciążenie serwerów DNS
• 3600 sekund (1 godzina) - standardowa wartość dla większości rekordów
• 86400 sekund (24 godziny) - wysokie TTL dla rekordów NS, które zmieniają się rzadko

Praktyczna wskazówka: Jeśli planujesz zmianę DNS (np. przeniesienie strony na nowy serwer), na kilka dni przed zmianą obniż TTL do 300 sekund. Dzięki temu po wprowadzeniu zmiany propagacja zajmie tylko kilka minut zamiast kilku godzin.

Czas propagacji DNS

Propagacja DNS to czas, w którym zmiany w strefie DNS rozchodzą się po całym internecie. Nie jest to natychmiastowe, bo serwery DNS na całym świecie mają zbuforowane stare wartości przez czas określony przez TTL.

Orientacyjny czas propagacji:

• Kilka minut - jeśli TTL było ustawione nisko (np. 300 sek.)
• 1-4 godziny - typowy czas dla standardowego TTL (3600 sek.)
• Do 48 godzin - maksymalny czas, który podają dostawcy dla pewności (w praktyce rzadko trwa tak długo)

Warto wiedzieć, że propagacja jest nierówna - w jednym miejscu na świecie strona może już działać pod nowym adresem, podczas gdy w innym wciąż wyświetla stary serwer.

Podsumowanie typów rekordów DNS

Rekord	Do czego służy	Kto go zwykle konfiguruje
A / AAAA	Wskazuje domenę na adres IP serwera (IPv4 / IPv6)	Właściciel domeny, po otrzymaniu adresu IP od hostingu
CNAME	Tworzy alias subdomeny wskazujący na inną nazwę domenową	Właściciel domeny, przy integracji z usługami zewnętrznymi
MX	Wskazuje serwery obsługujące pocztę e-mail domeny	Właściciel domeny, na podstawie danych od dostawcy poczty
TXT	SPF, DKIM, DMARC, weryfikacja własności domeny	Właściciel domeny lub administrator poczty
NS	Wskazuje autorytarne serwery DNS dla domeny	Właściciel domeny w panelu rejestratora
CAA	Ogranicza, które urzędy certyfikacji mogą wystawić SSL	Właściciel domeny lub administrator bezpieczeństwa
SRV	Wskazuje host i port konkretnej usługi sieciowej	Dostawca zintegrowanej usługi (np. VoIP, Teams)
PTR	Odwrotne mapowanie adresu IP na nazwę domeny	Dostawca hostingu / serwera, nie właściciel domeny

Praktyczne przykłady konfiguracji DNS

Poniższe scenariusze pokazują najczęstsze sytuacje, w których będziesz edytować strefę DNS w praktyce - od pierwszego uruchomienia strony, przez konfigurację poczty, po zabezpieczenie certyfikatów SSL.

Wskazanie domeny na hosting

Masz domenę u rejestratora i hosting w innej firmie. Chcesz skierować domenę na hosting:

1. Pobierz adres IP serwera od dostawcy hostingu
2. Wejdź do strefy DNS domeny u rejestratora
3. Dodaj rekord A: @ IN A [ADRES_IP] (@ oznacza domenę główną)
4. Dodaj rekord A: www IN A [ADRES_IP] lub rekord CNAME: www IN CNAME @
5. Poczekaj na propagację (kilka minut do kilku godzin)

Konfiguracja poczty na Google Workspace

1. Usuń istniejące rekordy MX
2. Dodaj rekordy MX wskazane przez Google (pięć serwerów z różnymi priorytetami)
3. Dodaj rekord TXT SPF: v=spf1 include:_spf.google.com ~all
4. Wygeneruj i dodaj rekord DKIM z panelu Google Workspace Admin
5. Opcjonalnie: dodaj rekord DMARC

Weryfikacja domeny w Google Search Console

1. W Google Search Console wybierz metodę weryfikacji „Rekord DNS”
2. Skopiuj podany kod weryfikacyjny
3. Dodaj rekord TXT do strefy DNS domeny: @ IN TXT "google-site-verification=KOD"
4. Poczekaj na propagację i kliknij „Zweryfikuj” w Search Console

Ograniczenie wystawiania certyfikatów SSL rekordem CAA

1. Ustal, z jakiego urzędu certyfikacji korzysta Twój hosting (np. Let’s Encrypt)
2. Dodaj rekord CAA: @ IN CAA 0 issue "letsencrypt.org"
3. Opcjonalnie dodaj rekord iodef z adresem e-mail do powiadomień o próbach nieautoryzowanego wystawienia certyfikatu
4. Zweryfikuj konfigurację narzędziem online do sprawdzania rekordów CAA

Najczęstsze błędy w konfiguracji DNS

• CNAME na apex domain - próba dodania CNAME dla samej domeny (np. domena.pl) zamiast subdomeny - to niezgodne ze standardem DNS i może powodować problemy
• Dwa rekordy SPF - można mieć tylko jeden rekord TXT z wartością SPF. Jeśli masz wielu dostawców poczty, łącz ich w jednym rekordzie: v=spf1 include:_spf.google.com include:sendgrid.net ~all
• Za wysokie TTL przed migracją - zmiana DNS przy TTL ustawionym na 86400 oznacza, że po zmianie trzeba czekać dobę na propagację
• Brak rekordu www - zapomnienie o dodaniu rekordu dla subdomeny www powoduje, że strona nie działa po wpisaniu pełnego adresu z „www”
• Błędna składnia rekordu TXT - wartości TXT muszą być ujęte w cudzysłowy, a niektóre wpisy (np. DKIM) muszą być dzielone na fragmenty
• Nieaktualny rekord DS po zmianie dostawcy DNS - jeśli masz włączony DNSSEC i zmieniasz dostawcę DNS, a zapomnisz zaktualizować rekord DS u rejestratora, domena może przestać być widoczna dla części użytkowników
• Brak rekordu PTR przy własnym serwerze pocztowym - skutkuje odrzucaniem lub oznaczaniem jako spam wiadomości wysyłanych z takiego serwera

Narzędzia do sprawdzania DNS

Zanim zaczniesz zgadywać, dlaczego zmiana w DNS jeszcze nie zadziałała, sprawdź stan rekordów jednym z poniższych narzędzi - to zwykle szybciej rozwiązuje problem niż kolejne odświeżanie przeglądarki.

dig (Linux/macOS)

Narzędzie dig to najbardziej zaawansowane polecenie do diagnostyki DNS, dostępne domyślnie w systemach Linux i macOS. Aby sprawdzić rekord A domeny, użyj:

dig studiokalmus.com A

Podobnie sprawdzisz rekordy MX i NS:

dig studiokalmus.com MX
dig studiokalmus.com NS

Jeśli chcesz pominąć lokalny cache i zapytać bezpośrednio konkretny serwer DNS, np. publiczny resolver Google, wskaż go flagą @:

dig @8.8.8.8 studiokalmus.com A

nslookup (Windows/Linux/macOS)

nslookup to prostsze narzędzie dostępne na wszystkich systemach operacyjnych. Sprawdzenie adresu IP domeny wygląda tak:

nslookup studiokalmus.com

A sprawdzenie rekordów MX tak:

nslookup -type=MX studiokalmus.com

MXToolbox

MXToolbox.com to popularne narzędzie online do sprawdzania rekordów DNS, w tym rekordów MX, SPF, DKIM i DMARC. Idealne dla osób niechcących korzystać z wiersza poleceń.

DNSChecker.org

DNSChecker.org pozwala sprawdzić propagację DNS z różnych lokalizacji na świecie - przydatne po zmianie rekordów DNS, aby sprawdzić, gdzie zmiany już dotarły.

Google Public DNS

Jeśli chcesz przetestować, jak domena wygląda z perspektywy jednego z największych publicznych resolverów DNS na świecie, przydatna jest dokumentacja Google Public DNS, opisująca m.in. sposób odpytywania serwera 8.8.8.8 bezpośrednio z wiersza poleceń, co pozwala pominąć lokalny cache dostawcy internetu.

Podsumowanie

Prawidłowa konfiguracja rekordów DNS to podstawa działania każdej strony internetowej i poczty e-mail. Znajomość różnic między rekordami A, CNAME, MX, TXT, a także rzadziej używanymi CAA, SRV i PTR, pozwala sprawnie zarządzać infrastrukturą online, dbać o dostarczalność poczty i bezpieczeństwo certyfikatów SSL, a także unikać typowych problemów, które ujawniają się dopiero po migracji lub zmianie dostawcy hostingu.

Najważniejsze do zapamiętania:

• Rekord A / AAAA - wskazuje domenę na adres IP serwera (IPv4 / IPv6)
• CNAME - tworzy alias (tylko dla subdomen, nie dla apex domain)
• MX - konfiguruje serwery pocztowe dla domeny
• TXT - służy do SPF, DKIM, DMARC i weryfikacji domen
• CAA - ogranicza, które urzędy certyfikacji mogą wystawić SSL dla domeny
• PTR - odwrotny DNS, kluczowy dla dostarczalności poczty z własnego serwera
• TTL - czas cachowania; obniż przed migracją, podnieś po zakończeniu
• Propagacja trwa od kilku minut do kilku godzin

Jeśli potrzebujesz pomocy przy konfiguracji DNS, przenosisz stronę na nowy hosting lub zaczynasz projekt od zera, skontaktuj się z nami. Studio Kalmus kompleksowo zajmuje się techniczną stroną stron internetowych - od konfiguracji DNS, przez hosting, po tworzenie i pozycjonowanie stron.