Il Problema della Scoperta HTTP/3 che Nessuno Sottolinea

Immagina questa scena su milioni di siti web: un visitatore digita il tuo dominio. Il browser risolve il DNS, apre una connessione TCP, completa l'handshake TLS, invia una richiesta HTTP... e solo a quel punto scopre "hey, supporto anche HTTP/3!"

Il protocollo che avrebbe reso tutto più veloce? Arriva troppo tardi.

Non è un limite del browser. È un vincolo architetturale. Il metodo tradizionale per comunicare il supporto HTTP/3 passa dall'header HTTP Alt-Svc, che può raggiungere i client solo dopo che hanno già stabilito una connessione. A quel punto, hai già scelto HTTP/1.1 o HTTP/2.

La Rivoluzione del Record DNS HTTPS (RFC 9460)

Ed ecco la svolta. Il record HTTPS, standardizzato a novembre 2023, fa qualcosa di notevole: annuncia il supporto HTTP/3 prima che il browser apra qualsiasi connessione.

Quando un client esegue la risoluzione DNS — cosa che doveva fare comunque — può scoprire simultaneamente:

• Quali protocolli ALPN supporti (h3, h2, http/1.1)
• Le tue chiavi pubbliche ECH (Encrypted Client Hello)
• Suggerimenti sugli IP per iniziare subito la connessione

Il risultato? La primissima connessione al tuo sito può usare QUIC e HTTP/3. Niente handshake sprecato. Nessun round trip perso per scoprire un protocollo che potevi usare dall'inizio.

Perché Dovrebbe Importarti

Pensa a ogni nuovo visitatore del tuo sito. Non ha connessioni in cache. Non ha mai appreso del tuo supporto HTTP/3 da visite precedenti. Parte da zero, e con il vecchio approccio Alt-Svc paga un penalty di latenza solo per scoprire cosa supporti.

Con un record HTTPS, quella scoperta avviene durante il lookup DNS che stava già eseguendo. La negoziazione del protocollo capita prima della connessione, non dopo.

Ma C'è Dell'altro: Encrypted Client Hello

Il record HTTPS risolve anche un problema critico che gli header HTTP non possono nemmeno toccare. Encrypted Client Hello (ECH) cripta il TLS ClientHello stesso, includendo il nome server SNI. Questo impedisce agli osservatori di rete di vedere quale sito specifico stai visitando.

C'è un problema però: ti serve la chiave pubblica ECH prima di inviare il primo ClientHello. Ma non esiste ancora una connessione da cui riceverla. È un problema dell'uovo e della gallina che solo un canale out-of-band può risolvere — e il record DNS HTTPS è quel canale.

Gli header HTTP non potranno mai consegnare ECH. Il DNS sì.

Pubblicare il Tuo Record HTTPS

Curioso di vedere come appare? Ecco un record HTTPS completo in ServiceMode:

example.com.  3600  IN  HTTPS  1  .  alpn="h3,h2"  ipv4hint=203.0.113.10  ipv6hint=2001:db8::10

Analizziamolo:

• example.com. — Il tuo dominio (completo con il punto finale)
• 3600 — TTL in secondi (quanto a lungo i resolver possono cacharlo)
• HTTPS — Il tipo di record
• 1 — Priorità 1 o superiore significa ServiceMode (porta parametri)
• . — Host target; un punto significa "usa il nome stesso del proprietario"
• alpn="h3,h2" — Protocolli supportati, il migliore per primo
• ipv4hint / ipv6hint — Suggerimenti sugli indirizzi per avviare la connessione prima

Da NameOcean, stiamo rendendo sempre più semplice gestire questi record insieme alle altre configurazioni DNS. È un altro segnale che dimostra quanto teniamo d'occhio dove sta andando la performance web.

E i Client Vecchi?

Pubblicare un record HTTPS è strettamente additivo. I client che non lo capiscono lo ignorano semplicemente e tornano ai normali lookup A/AAAA. Potrebbero perdere l'ottimizzazione HTTP/3, ma niente si rompe.

Questo significa che puoi pubblicare il tuo record HTTPS oggi senza preoccuparti della compatibilità. È un miglioramento progressivo: i browser moderni lo leggono, quelli vecchi non lo notano nemmeno.

Dovresti Rimuovere l'Header Alt-Svc?

No. Continua a inviarlo.

Pensa all'header Alt-Svc come a un fallback per tutto ciò che non riceve il tuo record HTTPS: browser datati, configurazioni resolver specifiche, o reti che filtrano le risposte DNS. Con entrambi attivi, sei coperto da ogni angolazione:

• Browser moderni + resolver compatibili con HTTPS → Scoprono HTTP/3 dal DNS, si connettono subito con QUIC
• Client vecchi o DNS filtrato → Tornano all'header Alt-Svc dopo la connessione iniziale
• Visite successive → Ancora meglio; le connessioni HTTP/3 possono riprendere con 0-RTT, mettendo la prima richiesta sul filo senza alcun handshake

Il Risultato Finale

Il record DNS HTTPS è una di quelle ottimizzazioni rare che costa quasi nulla implementare ma può migliorare significativamente la performance di connessione per ogni nuovo visitatore del tuo sito. È un piccolo cambiamento di configurazione che mette la scoperta HTTP/3 esattamente dove serve: prima del primo byte inviato, non dopo.

Se usi una CDN, verifica se la stanno già pubblicando per te — Cloudflare lo fa automaticamente per le zone in proxy. Se gestisci il tuo DNS, aggiungere un record HTTPS è un task da quindici minuti che i tuoi visitatori apprezzeranno su ogni connessione a freddo.

Il web sta andando verso HTTP/3. Assicurati che il tuo DNS sia parte del viaggio.

Pronto a ottimizzare la tua configurazione DNS? Da NameOcean, forniamo gli strumenti e la guida per mantenere la tua infrastruttura all'avanguardia. Le prime connessioni dei tuoi visitatori non devono aspettare.