Quando digiti un dominio, il sistema chiede al resolver ricorsivo (quello dell'operatore, o 1.1.1.1/9.9.9.9). Se non ha la risposta in cache, il resolver scala la gerarchia: i root server indicano i server del TLD (.it, .com), il TLD indica i nameserver autoritativi del dominio, e quelli rispondono con il record richiesto. Ogni risposta resta in cache per il suo TTL – per questo le modifiche "propagano" lentamente.
Per vedere il percorso dal vivo: dig +trace example.com; per interrogare un resolver preciso: dig @1.1.1.1 example.com.
Due code: le query classiche viaggiano in chiaro sulla porta 53 – DoH e DoT le cifrano – e un resolver bugiardo può avvelenare la cache. Sceglierlo è una questione di fiducia.