Un registro può cancellare il tuo dominio: la lezione per chi costruisce identità digitali

Nel caso raccontato dallo sviluppatore Neil Fraser, il dominio in questione era del tipo xxx.yyy.name — un cosiddetto dominio di terzo livello, registrato regolarmente presso un operatore accreditato, con tanto di record whois pubblico, esattamente come un normale .it o .com. Il registro che gestisce l'estensione ha proposto — e ottenuto l'approvazione — di eliminare tecnicamente l'intero livello per semplificare la propria infrastruttura. Risultato: chi aveva registrato un indirizzo di quel tipo lo perde, anche se pagato per altri quindici anni, e il livello superiore del dominio (quello senza il nome scelto dall'utente) tornerà libero e registrabile da chiunque.

Il problema non è "solo" perdere un sito. È che quell'indirizzo era usato anche come email, come identità per accedere ad altri servizi, e come endpoint per dispositivi IoT connessi. Se qualcun altro registra il dominio liberato, può ricreare quello stesso indirizzo email e usarlo per resettare password su servizi terzi che non hanno modo di sapere che il proprietario è cambiato.

Molti sviluppatori — e molte piccole attività che si affidano a un solo indirizzo email per tutto — non si sono mai chiesti quanti servizi dipendono da un singolo dominio che non controllano al 100%. Vale la pena farsi, una volta ogni tanto, un piccolo inventario:

• Autenticazione: quanti account (banca, hosting, GitHub, provider cloud) usano quell'indirizzo email come unico metodo di recupero password?
• Firma del codice e accessi: ci sono chiavi SSH, token API o certificati legati a quel dominio o a quell'email?
• Dispositivi e integrazioni: ci sono webhook, dispositivi smart-home o automazioni che puntano a un sottodominio che gestisci tu?
• Terze parti fuori dal tuo controllo: il dominio, il registrar, il provider email e il DNS sono soggetti a decisioni di aziende terze che puoi solo subire, non negoziare.

Nessuno di questi punti si risolve smettendo di usare domini — sarebbe impraticabile. Si risolve sapendo con precisione cosa succederebbe se uno di questi anelli si rompesse domani, e avendo almeno un secondo fattore di autenticazione (una chiave hardware, un'app authenticator) che non dipende dall'email come unico paracadute.

Un dettaglio tecnico spesso ignorato: registrare tuonome.com non è la stessa cosa, in termini di rischio, che registrare tuonome.provider.com o un dominio di terzo livello come quello del caso qui sopra. Nel primo caso il contratto è diretto tra te e il registro; nel secondo, sei a un livello di distanza in più, soggetto anche alle decisioni aziendali di chi gestisce il livello sopra il tuo. Per un progetto personale, un portfolio, un piccolo business o un cliente che ti chiede di gestire il suo dominio, la scelta di un'estensione generica e diffusa (.it, .com, .eu) registrata direttamente a tuo nome resta la base più solida: meno livelli intermedi significano meno soggetti che, un giorno, possono decidere qualcosa al posto tuo.