Autoritativ DNS

En autoritativ DNS-server er den offisielle kilden for innholdet i en DNS-sone. Den svarer direkte fra sin egen sonefil, ikke fra cache, og er den eneste typen server som kan publisere endringer i A-, AAAA-, MX- og andre poster for et domene. En rekursiv resolver spør til slutt en autoritativ server om hvert faktum den senere cacher.

Hvilke servere som er autoritative for en sone, defineres av sonens NS-records og bekreftes av delegeringen i overliggende sone (typisk TLD). Sonen forankres av en SOA-record med serienummer og synk-parametere. Endringer gjøres på den primære autoritative serveren og distribueres til sekundære via sonetransporter (AXFR for full, IXFR for inkrementell), normalt utløst av en NOTIFY fra primæren slik at sekundærene plukker opp nytt serienummer i løpet av sekunder.

Autoritative svar markeres med AA-bit-flagget i DNS-svarets header, og det er slik en resolver kan skille dem fra referanser og cachede svar. Et negativt svar (NXDOMAIN) fra en autoritativ server er endelig for sonen; det samme svaret fra en rekursiv kan rett og slett være et tidligere cachet svar.

De fleste seriøse oppsett driver autoritative og rekursive funksjoner på separate servere for å unngå sammenblanding og redusere angrepsflate — autoritative servere er offentlig tilgjengelige, men besvarer kun egne soner, mens rekursive resolvere betjener en definert klientpopulasjon. Autoritative plattformer er også der DNSSEC-signering skjer: sonenøklene ligger på autoritativ side, og RRSIG-, DNSKEY- og NSEC/NSEC3-records publiseres sammen med dataene de beskytter.