Quando il tuo dominio diventa un campo aperto: i wildcard DNS e il caso di GitHub Pages

Immagina di essere in viaggio in Africa con una connessione instabile. La vita scorre tranquilla. Poi arriva una mail di Google Search Console: qualcuno ha preso possesso di un sottodominio del tuo dominio.

La sorpresa è totale.

Non è uno scenario teorico. È successo davvero a uno sviluppatore che usava GitHub Pages per un sito statico dedicato alla visualizzazione di nuvole di punti 3D. Mentre era offline, un altro utente ha creato kafka.immersivepoints.com e ha pubblicato contenuti sul suo dominio. Lui l'ha scoperto solo settimane dopo.

La scelta comoda che ha aperto la falla

GitHub Pages è una soluzione semplice e potente. Non serve configurare server. Basta puntare i record DNS verso le IP di GitHub e il sito è online.

Lo sviluppatore ha scelto la via più veloce: ha creato un record wildcard (*.immersivepoints.com) che indirizzava tutto verso GitHub. Pratico. Pulito. Ma fragile.

L'idea di fondo era semplice: «Controllo io i sottodomini, perché possiedo il dominio». Ma con GitHub Pages questa logica non vale.

Come GitHub gestisce i record CNAME

Il problema è che GitHub accetta qualsiasi file CNAME presente in qualsiasi repository. Non verifica chi è il proprietario del dominio. Se un record DNS punta verso i suoi server, il contenuto viene servito.

Così, quando un altro utente ha creato un repository con un CNAME che puntava a kafka.immersivepoints.com, GitHub ha iniziato a pubblicare i contenuti di quel repository sul sottodominio. Non c'è stato alcun controllo. Non è stata inviata alcuna notifica.

Anzi: il repository era privato, quindi lo sviluppatore non poteva nemmeno vedere cosa stava succedendo.

Wildcard senza controllo: la combinazione pericolosa

Con un wildcard DNS stai dicendo ai server: «Tutto ciò che finisce sotto il mio dominio va qui». È efficiente, ma perde ogni granularità.

Aggiunta alla mancanza di verifica di GitHub, questa configurazione diventa una porta aperta. Qualsiasi utente GitHub può potenzvollare un sottodominio sotto un wildcard DNS senza che il proprietario del dominio lo sappia.

In questo caso, il sottodominio è stato usato per pubblicare siti di scommesse illegali. Danneggiando la reputazione del dominio in cerca.