FQDN.pl

FQDN (Fully Qualified Domain Name — w pełni kwalifikowana nazwa domenowa) to pełna, jednoznaczna ścieżka identyfikująca konkretny host w hierarchii systemu nazw domenowych (DNS). W odróżnieniu od zwykłej nazwy domeny, FQDN zawiera wszystkie poziomy hierarchii — od nazwy hosta, przez domenę organizacji i domenę najwyższego poziomu (TLD), aż po niewidoczną kropkę oznaczającą strefę korzenia (root zone).

Termin został formalnie zdefiniowany w RFC 1035 (1987) — dokumencie opisującym implementację i specyfikację systemu DNS. Zgodnie z tą specyfikacją, FQDN to absolutna nazwa w drzewie domenowym, która nie wymaga żadnego uzupełniania ani interpretacji kontekstowej.

Przykład: www.example.pl. — każdy segment oddzielony kropką to osobny poziom w hierarchii DNS. Końcowa kropka reprezentuje korzeń (root) drzewa DNS i jest tym, co czyni nazwę w pełni kwalifikowaną.

Dlaczego potrzebujemy systemu domen?

Internet to sieć miliardów urządzeń, z których każde identyfikowane jest numerycznym adresem IP (np. 93.184.216.34 dla IPv4 lub 2606:2800:220:1:248:1893:25c8:1946 dla IPv6). Zapamiętywanie tych adresów byłoby niewykonalne — dlatego w 1983 roku Paul Mockapetris zaprojektował Domain Name System (DNS, RFC 882/883, później RFC 1034/1035), hierarchiczny i rozproszony system tłumaczący nazwy zrozumiałe dla ludzi na adresy IP.

DNS pełni tę samą funkcję co książka telefoniczna — pozwala odnaleźć numer (adres IP) na podstawie nazwy (domeny). Jednak w odróżnieniu od płaskiej książki telefonicznej, DNS jest drzewem hierarchicznym z jasno zdefiniowanymi poziomami odpowiedzialności. FQDN to pełna ścieżka od liścia tego drzewa do jego korzenia.

FQDN (Fully Qualified Domain Name) is the complete, unambiguous path that identifies a specific host within the Domain Name System (DNS) hierarchy. Unlike a plain domain name, an FQDN includes every level of the hierarchy — from the hostname, through the organization's domain and Top-Level Domain (TLD), all the way to the invisible dot representing the root zone.

The term was formally defined in RFC 1035 (1987) — the document specifying DNS implementation. Per this specification, an FQDN is an absolute name in the domain tree that requires no completion or contextual interpretation.

Example: www.example.pl. — each dot-separated segment is a distinct level in the DNS hierarchy. The trailing dot represents the root of the DNS tree, and it's what makes the name fully qualified.

Why do we need a domain name system?

The Internet is a network of billions of devices, each identified by a numeric IP address (e.g., 93.184.216.34 for IPv4 or 2606:2800:220:1:248:1893:25c8:1946 for IPv6). Memorizing these addresses would be impractical — so in 1983, Paul Mockapetris designed the Domain Name System (DNS, RFC 882/883, later RFC 1034/1035), a hierarchical and distributed system that translates human-readable names into IP addresses.

DNS serves the same function as a phone book — it lets you find a number (IP address) by name (domain). But unlike a flat phone book, DNS is a hierarchical tree with clearly defined levels of authority. An FQDN is the complete path from a leaf of that tree to its root.

Każde FQDN składa się z etykiet (labels) oddzielonych kropkami. Czytane od lewej do prawej, przechodzą od najbardziej szczegółowego poziomu (host) do najbardziej ogólnego (root):

Every FQDN consists of labels separated by dots. Read from left to right, they go from the most specific level (host) to the most general (root):

Ograniczenia techniczne

Zgodnie z RFC 1035 i RFC 1123, FQDN podlega ścisłym regułom:

• Maksymalna długość: 253 znaki (w reprezentacji tekstowej), 255 oktetów w formacie wire DNS
• Maksymalna długość etykiety: 63 znaki
• Dozwolone znaki: litery (a-z), cyfry (0-9), myślnik (-) — myślnik nie na początku i końcu
• Case-insensitive: WWW.Example.PL = www.example.pl (RFC 4343)
• Pozycje 3-4 etykiety nie mogą być jednocześnie myślnikami, chyba że to IDN Punycode (xn--)

Dlaczego 253, a nie 255? W formacie wire DNS każda etykieta poprzedzona jest bajtem długości, a nazwa kończy się bajtem zerowym. Np. www.example.com. kodowane jest jako: \x03www\x07example\x03com\x00 — bajty długości i terminator zajmują dodatkowe oktety.

Technical constraints

Per RFC 1035 and RFC 1123, FQDNs are subject to strict rules:

• Maximum total length: 253 characters (text representation), 255 octets in DNS wire format
• Maximum label length: 63 characters
• Allowed characters: letters (a-z), digits (0-9), hyphen (-) — hyphen not at start or end
• Case-insensitive: WWW.Example.PL = www.example.pl (RFC 4343)
• Positions 3-4 of a label must not both be hyphens, unless it's an IDN Punycode label (xn--)

Why 253 and not 255? In DNS wire format, each label is preceded by a length byte, and the name ends with a zero byte. E.g., www.example.com. is encoded as: \x03www\x07example\x03com\x00 — the length bytes and terminator consume extra octets.

Kiedy wpisujesz www.example.com w przeglądarce, uruchamia się złożony proces rozwiązywania nazwy (DNS resolution) — od Twojego komputera, przez kilka serwerów, aż do uzyskania adresu IP. Cały proces trwa zazwyczaj 20-120 milisekund.

When you type www.example.com in your browser, a complex name resolution process kicks off — from your computer, through several servers, until an IP address is obtained. The entire process typically takes 20-120 milliseconds.

Protokoły transportowe DNS

DNS tradycyjnie używa UDP na porcie 53 (pakiety do 512 bajtów, lub więcej z EDNS0). Dla dużych odpowiedzi przełącza się na TCP/53. Nowoczesne protokoły szyfrowane: DoT (DNS over TLS, port 853), DoH (DNS over HTTPS, port 443) i DoQ (DNS over QUIC, port 853).

DNS transport protocols

DNS traditionally uses UDP on port 53 (packets up to 512 bytes, or larger with EDNS0). For large responses, it falls back to TCP/53. Modern encrypted protocols: DoT (DNS over TLS, port 853), DoH (DNS over HTTPS, port 443), and DoQ (DNS over QUIC, port 853).

Istnieje dokładnie 13 tożsamości serwerów root (A-M), ale dzięki routingowi anycast obsługuje je ponad 2000 fizycznych instancji rozmieszczonych na całym świecie. Limit 13 wynika z oryginalnego ograniczenia protokołu DNS — 13 wpisów NS z glue records (adresy IPv4) to maksimum, jakie mieściło się w 512-bajtowym pakiecie UDP.

There are exactly 13 root server identities (A-M), but thanks to anycast routing, they are served by over 2,000 physical instances worldwide. The limit of 13 comes from the original DNS protocol constraint — 13 NS entries with IPv4 glue records were the maximum that fit in a 512-byte UDP packet.

TLD (Top-Level Domain) to najwyższy poziom w hierarchii DNS, znajdujący się bezpośrednio pod strefą root. Zarządzanie nimi koordynuje ICANN (Internet Corporation for Assigned Names and Numbers), a rejestr TLD prowadzi IANA (Internet Assigned Numbers Authority). Na początku 2026 roku istnieje ponad 1500 aktywnych TLD.

ccTLD — domeny krajowe

Dwuliterowe kody przypisane krajom i terytoriom zgodnie z normą ISO 3166-1 alpha-2. Łączna liczba rejestracji ccTLD: ~146,3 miliona (Q1 2026).

A TLD (Top-Level Domain) is the highest level in the DNS hierarchy, sitting directly below the root zone. Their management is coordinated by ICANN (Internet Corporation for Assigned Names and Numbers), and the TLD registry is maintained by IANA (Internet Assigned Numbers Authority). As of early 2026, there are over 1,500 active TLDs.

ccTLD — Country Code TLDs

Two-letter codes assigned to countries and territories per ISO 3166-1 alpha-2. Total ccTLD registrations: ~146.3 million (Q1 2026).

gTLD — domeny generyczne

Oryginalne domeny generyczne bez ograniczeń geograficznych. .com z ponad 157 milionami rejestracji jest największą domeną na świecie.

gTLD — Generic TLDs

Original generic domains without geographical restrictions. .com with over 157 million registrations is the world's largest TLD.

Nowe gTLD (po 2012)

Po rozszerzeniu ICANN w 2012 roku wprowadzono ponad 1200 nowych gTLD. Łączna liczba rejestracji: ~38 milionów (wzrost 13,5% rok do roku). Obejmują domeny tematyczne (.app, .dev), geograficzne (.london, .tokyo) i brandowe (.google, .amazon).

Ciekawostka: .app i .dev (oba należą do Google) mają wymuszone HTTPS przez preloaded HSTS — nie da się ich użyć bez certyfikatu SSL.

Uwaga na .io — technicznie to ccTLD Brytyjskiego Terytorium Oceanu Indyjskiego, ale używany jest jako domena technologiczna. Po porozumieniu w sprawie suwerenności z Mauritiusem (2024), jego przyszłość jest pod obserwacją IANA.

sTLD — domeny sponsorowane

Domeny ograniczone do konkretnych społeczności, z organizacją sponsorującą weryfikującą uprawnienia:

New gTLDs (post-2012)

After ICANN's expansion in 2012, over 1,200 new gTLDs were introduced. Total registrations: ~38 million (13.5% YoY growth). These include topical domains (.app, .dev), geographic (.london, .tokyo), and brand TLDs (.google, .amazon).

Fun fact: .app and .dev (both Google registries) enforce HTTPS via preloaded HSTS — they cannot be used without an SSL certificate.

Note on .io — technically a ccTLD for British Indian Ocean Territory, but widely used as a tech domain. Following the 2024 sovereignty agreement with Mauritius, its long-term future is under IANA review.

sTLD — Sponsored TLDs

Domains restricted to specific communities with a sponsoring organization enforcing eligibility:

Domena infrastrukturalna — .arpa

.arpa (Address and Routing Parameter Area) — jedyna domena infrastrukturalna w DNS, zarządzana przez IANA pod nadzorem IETF (RFC 3172). Oryginalnie dla ARPANET, dziś służy wyłącznie celom technicznym:

• in-addr.arpa — reverse DNS dla IPv4
• ip6.arpa — reverse DNS dla IPv6
• e164.arpa — mapowanie numerów telefonów (ENUM)
• home.arpa — sieci domowe (RFC 8375)

IDN ccTLD — domeny w alfabetach narodowych

Zinternatywizowane domeny krajowe używające skryptów innych niż łaciński. Wewnętrznie przechowywane jako Punycode (prefiks xn--). Istnieje ~59 IDN ccTLD w 23 skryptach.

Infrastructure TLD — .arpa

.arpa (Address and Routing Parameter Area) — the only infrastructure TLD in DNS, managed by IANA under IETF oversight (RFC 3172). Originally for ARPANET, now used exclusively for technical purposes:

• in-addr.arpa — IPv4 reverse DNS
• ip6.arpa — IPv6 reverse DNS
• e164.arpa — telephone number mapping (ENUM)
• home.arpa — home networks (RFC 8375)

IDN ccTLDs — Internationalized domains

Internationalized country-code domains using non-Latin scripts. Internally stored as Punycode (xn-- prefix). Approximately 59 IDN ccTLDs exist across 23 scripts.

DNS przechowuje dane w rekordach zasobów (Resource Records). Każdy rekord ma typ, klasę (prawie zawsze IN — Internet), TTL i dane. Poniżej najważniejsze typy:

DNS stores data in Resource Records. Each record has a type, class (almost always IN — Internet), TTL, and data. The most important types:

PQDN (Partially Qualified Domain Name) to niepełna nazwa domenowa — skrót, który wymaga uzupełnienia przez resolver DNS. Różnica między FQDN a PQDN ma ogromne znaczenie praktyczne, szczególnie w środowiskach korporacyjnych i Kubernetes.

PQDN (Partially Qualified Domain Name) is an incomplete domain name — a shorthand that requires completion by the DNS resolver. The difference between FQDN and PQDN has significant practical implications, especially in corporate environments and Kubernetes.

W Kubernetes domyślne ndots:5 oznacza, że każda nazwa z mniej niż 5 kropkami najpierw dostaje search domain — to generuje 4-5 zbędnych zapytań DNS na każdy lookup. Wiele klastrów produkcyjnych ustawia ndots:2 lub używa FQDN z kropką na końcu.

In Kubernetes, the default ndots:5 means any name with fewer than 5 dots gets search domains prepended first — generating 4-5 unnecessary DNS queries per lookup. Many production clusters override this to ndots:2 or use FQDNs with trailing dots.

SSL/TLS — certyfikaty

Certyfikat SSL/TLS zawiera identyfikatory w polu SAN (Subject Alternative Name). Przeglądarka porównuje FQDN z wpisami SAN — niezgodność = ERR_CERT_COMMON_NAME_INVALID. Wildcard *.example.pl matchuje www.example.pl, ale nie matchuje example.pl ani sub.www.example.pl.

SMTP — EHLO/HELO

Serwer SMTP identyfikuje się komendą EHLO mail.example.com (RFC 5321). Odbiorca wykonuje FCrDNS (Forward-Confirmed reverse DNS): sprawdza PTR łączącego IP, potem A record tego PTR, i porównuje z EHLO. Niezgodność = sygnał spamu.

Reverse DNS (PTR)

Rekordy PTR mapują adresy IP na FQDN. IPv4 używa in-addr.arpa (odwrócone oktety), IPv6 używa ip6.arpa (format nibble). Kluczowe dla: dostarczalności maili, logowania SSH, audytów bezpieczeństwa.

Active Directory

AD jest fundamentalnie zbudowane na DNS. Kontrolery domeny rejestrują rekordy SRV (_ldap._tcp.dc._msdcs.corp.example.com.), Kerberos polega na FQDN w Service Principal Names (SPN), a relacje zaufania między domenami używają referrali opartych na FQDN.

Kubernetes — Service Discovery

Kubernetes ma wbudowany DNS (CoreDNS) ze strukturalną hierarchią FQDN: <serwis>.<namespace>.svc.cluster.local.. Pody w StatefulSet mają indywidualne FQDN: pod-0.my-service.default.svc.cluster.local.

SPF, DKIM, DMARC

Trzy mechanizmy uwierzytelniania poczty — wszystkie oparte na rekordach DNS pod ściśle określonymi FQDN. SPF: rekord TXT w domenie nadawcy. DKIM: klucz publiczny pod selector._domainkey.example.com.. DMARC: polityka pod _dmarc.example.com.. Błędne FQDN = rekord ignorowany.

SSL/TLS — Certificates

SSL/TLS certificates contain identifiers in the SAN (Subject Alternative Name) field. The browser compares the FQDN against SAN entries — mismatch = ERR_CERT_COMMON_NAME_INVALID. Wildcard *.example.pl matches www.example.pl, but does not match example.pl or sub.www.example.pl.

SMTP — EHLO/HELO

SMTP servers identify themselves with EHLO mail.example.com (RFC 5321). The receiving server performs FCrDNS (Forward-Confirmed reverse DNS): checks PTR for the connecting IP, then A record for that PTR result, and compares with EHLO. Mismatch = spam signal.

Reverse DNS (PTR)

PTR records map IP addresses to FQDNs. IPv4 uses in-addr.arpa (reversed octets), IPv6 uses ip6.arpa (nibble format). Critical for: email deliverability, SSH logging, security audit trails.

Active Directory

AD is fundamentally built on DNS. Domain controllers register SRV records (_ldap._tcp.dc._msdcs.corp.example.com.), Kerberos relies on FQDNs for Service Principal Names (SPNs), and trust relationships use FQDN-based referrals.

Kubernetes — Service Discovery

Kubernetes has built-in DNS (CoreDNS) with a structured FQDN hierarchy: <service>.<namespace>.svc.cluster.local.. StatefulSet pods have individual FQDNs: pod-0.my-service.default.svc.cluster.local.

SPF, DKIM, DMARC

Three email authentication mechanisms — all based on DNS records at precisely defined FQDNs. SPF: TXT record at the sender's domain. DKIM: public key at selector._domainkey.example.com.. DMARC: policy at _dmarc.example.com.. Wrong FQDN = record silently ignored.

Podstawowe narzędzia do diagnostyki i rozwiązywania problemów DNS:

Essential tools for DNS diagnostics and troubleshooting:

DNSSEC dodaje uwierzytelnianie i integralność do odpowiedzi DNS za pomocą kryptograficznych podpisów cyfrowych. Chroni przed cache poisoning (atak Kaminsky'ego, 2008) i atakami man-in-the-middle. DNSSEC nie szyfruje ruchu DNS — do tego służą DoT, DoH i DoQ.

Łańcuch zaufania

DNSSEC adds authentication and integrity to DNS responses through cryptographic digital signatures. It protects against cache poisoning (Kaminsky attack, 2008) and man-in-the-middle attacks. DNSSEC does not encrypt DNS traffic — DoT, DoH, and DoQ serve that purpose.

Chain of trust

Root KSK jest zarządzany przez ICANN w kontrolowanych key ceremonies w dwóch bezpiecznych lokalizacjach (Culpeper, VA i El Segundo, CA). Aktualny root KSK został wymieniony w październiku 2018 (algorytm RSASHA256, key tag 20326).

Adopcja DNSSEC (2025): strefa root — tak (od 2010), .com — tak (od 2011), .pl — tak. Domeny drugiego poziomu: ~5-10% .com, znacznie więcej dla niektórych ccTLD (.nl ~60%, .se ~50%, .cz ~70%).

The root KSK is managed by ICANN in controlled key ceremonies at two secure facilities (Culpeper, VA and El Segundo, CA). The current root KSK was rolled in October 2018 (algorithm RSASHA256, key tag 20326).

DNSSEC adoption (2025): root zone — yes (since 2010), .com — yes (since 2011), .pl — yes. Second-level domains: ~5-10% of .com, much higher for some ccTLDs (.nl ~60%, .se ~50%, .cz ~70%).

Domena .pl jest zarządzana przez NASK (Naukowa i Akademicka Sieć Komputerowa) — polski państwowy instytut badawczy z siedzibą w Warszawie. NASK operuje rejestrem .pl od 30 lipca 1990 roku — to jedna z najstarszych domen ccTLD w Europie.

Serwery NS domeny .pl

The .pl domain is managed by NASK (Research and Academic Computer Network) — a Polish national research institute headquartered in Warsaw. NASK has operated the .pl registry since July 30, 1990 — one of the oldest ccTLDs in Europe.

.pl Nameservers

Litery c, e, g, i nie są używane (celowe luki z powodów operacyjnych/anycast). Część serwerów operowana jest przez partnerów zewnętrznych (RIPE NCC, PCH, Netnod).

Domeny drugiego poziomu pod .pl

Funkcjonalne: .com.pl, .biz.pl, .net.pl, .org.pl, .edu.pl, .gov.pl, .mil.pl, .info.pl, .art.pl

Regionalne (118 sztuk): .waw.pl (Warszawa), .krakow.pl, .poznan.pl, .wroc.pl, .gda.pl, .lodz.pl, .katowice.pl, .szczecin.pl, .malopolska.pl, .slask.pl, .mazowsze.pl, .pomorze.pl i inne.

IDN w domenie .pl

NASK wspiera znaki diakrytyczne języka polskiego w nazwach domen: ą, ć, ę, ł, ń, ó, ś, ź, ż. Przykład: żółw.pl jest przechowywany jako xn--zw-8jaa.pl w DNS (Punycode).

Registry Lock

NASK oferuje Registry Lock dla domen o wysokiej wartości — dodatkowe zabezpieczenie wymagające manualnej weryfikacji (w tym potwierdzenia tożsamości) przed zmianami delegacji, serwerów NS lub transferem domeny.

Statystyki

~2,6 miliona aktywnych domen .pl (2025). Rejestr WHOIS: whois.dns.pl. RDAP: rdap.dns.pl. Rejestracja wyłącznie przez autoryzowanych partnerów registrar (nie bezpośrednio w NASK).

Letters c, e, g, i are not used (intentional gaps for operational/anycast reasons). Some servers are operated by external partners (RIPE NCC, PCH, Netnod).

Second-level domains under .pl

Functional: .com.pl, .biz.pl, .net.pl, .org.pl, .edu.pl, .gov.pl, .mil.pl, .info.pl, .art.pl

Regional (118 total): .waw.pl (Warsaw), .krakow.pl, .poznan.pl, .wroc.pl, .gda.pl, .lodz.pl, .katowice.pl, .szczecin.pl, .malopolska.pl, .slask.pl, .mazowsze.pl, .pomorze.pl and more.

IDN in .pl

NASK supports Polish diacritics in domain names: ą, ć, ę, ł, ń, ó, ś, ź, ż. Example: żółw.pl is stored as xn--zw-8jaa.pl in DNS (Punycode).

Registry Lock

NASK offers Registry Lock for high-value domains — an additional security mechanism requiring manual verification (including identity confirmation) before changes to delegation, nameservers, or domain transfer.

Statistics

~2.6 million active .pl domains (2025). WHOIS: whois.dns.pl. RDAP: rdap.dns.pl. Registration only through authorized registrar partners (not directly with NASK).

Sprawdź, czy wpisana nazwa jest poprawnym FQDN zgodnie z RFC 1035 i RFC 1123:

Check whether the entered name is a valid FQDN per RFC 1035 and RFC 1123: