يمكن أن يفشل بحث المصادقة حتى عندما تعرض لوحة تحكم DNS ما هو متوقع سجل TXT. يجب على محلل التحقق أيضًا تحديد ما إذا كانت الإجابة جديرة بالثقة. مكسورة DNSSEC وبالتالي يمكن للسلسلة مقاطعة الوصول إليها SPF, DKIM أو نقل البيانات الأمنية دون تغيير نصها المرئي.
افصل العرض عن السبب
مراجع: RFC 4035 §3.2.2, RFC 4035 §5.5.
التقط اسم المالك الدقيق ونوع الاستعلام والمحلل والوقت والاستجابة. لا يعد SERVFAIL تشخيصًا DNSSEC في حد ذاته. يمكن أن تؤدي المهلات والسلطات التي لا يمكن الوصول إليها وحالات فشل وحدة الحل الأخرى إلى إنتاج رمز الاستجابة نفسه. قارن استعلام التحقق العادي مع تشخيصات التحقق من الصحة من نفس المحلل الموثوق به وافحص سلسلة التفويض.
استعلام باستخدام حفر + DNSsec يطلب سجلات DNSSEC ؛ لا يجعل حفر مدقق محلي كامل. يمكن أن يساعد استعلام التحقق المعطل في الكشف عن البيانات التي تم رفض التحقق من صحتها، ولكن الإجابة التي تم الحصول عليها مع تجاوز التحقق من الصحة ليست دليلاً على أن تبعية الإنتاج سليمة. احتفظ بهذه النتيجة التشخيصية منفصلة عن نتيجة التطبيق العادي.
تتبع الوالدين والطفل معا
مراجع: RFC 4035 §5, RFC 7208 §4.6.2, RFC 6376 §6.1.2, RFC 7672 §2.1.
افحص DS الأصلي، DNSKEY الفرعي، والتوقيعات التي تغطي السجلات المطلوبة وفترات صلاحيتها. تحقق من ساعة المدقق وتكوين الثقة. يعد DS الأصلي الذي لا معنى له بعد استبدال المفتاح أو التوقيعات منتهية الصلاحية أو بيانات DNSKEY غير المتوفرة بمثابة أخطاء مختلفة تتطلب إصلاحات مختلفة. يعد التفويض غير الموقع عمدًا مع إثبات موثق لعدم وجود DS غير آمن، وليس مزيفًا تلقائيًا.
بالنسبة للبريد الإلكتروني، سجل ما فعله التنفيذ المتأثر. قد يؤدي خطأ DNS SPF إلى temperror; فشل بحث DKIM لا يثبت أن الرسالة مزورة. SMTP DANE له عواقب نقل أكثر صرامة عند الحاجة إلى المصادقة TLSA لا يمكن التحقق من صحة البيانات. لا تقم بدمج هذه النتائج في مطالبة عالمية بأن DNSSEC يرفض جميع رسائل البريد.
استخدم أداة كسر وإصلاح يمكن التحكم فيها
مراجع: RFC 4035 §5.2, RFC 6698 §2.1.
في التسلسل الهرمي القابل للتصرف، قم بالتوقيع mailtest.example باستخدام المفتاح A وتثبيت DS الأصلي المطابق. الاستعلام عن MX و _25._tcp.mx.mailtest.example TLSA من خلال أداة التحقق المثبتة على أصل الاختبار. احفظ خط الأساس الآمن ومجموعة DNSKEY وDS وأوقات التوقيع. استبدل المفتاح الفرعي بالمفتاح B مع ترك DS الخاص بـ A فقط عند الوالد عمدًا. النتيجة المتوقعة هي فشل التحقق من الصحة، وليس انتقالًا غير موقّع وغير ضار.
قم باستعادة سلسلة موقعة متوافقة وكرر نفس الاستعلامات بعد حساب التفويض المخزن مؤقتًا والمواد الأساسية. قارن DER SubjectPublicKeyInfo SHA-256 الخاص بالشهادة مع أ 3 1 1 اقتران TLSA بشكل منفصل: لا تؤدي البايتات المطابقة إلى إصلاح سلسلة DNS المعطلة. يحدد هذا المحلل وسلوك SMTP ؛ عمليات التحقق من التشفير دون اتصال التي تم الاحتفاظ بها أدناه لا تنفذ مسارات الشبكة هذه.
أغلق الحادثة بالأدلة المقيدة
مراجع: RFC 6781 §4.3.5.
قم بإصلاح السلسلة الفعلية أو خطأ التوقيع من خلال مشغل DNS المعتمد. لا تقم بإزالة بيانات DS كحل عالمي مرتجل؛ يغير الحماية وله عواقب تعتمد على ذاكرة التخزين المؤقت. احتفظ بالاستجابات قبل وبعد من الخوادم الموثوقة ومسارات التحقق ذات الصلة، ثم اختبر تدفق البريد المتأثر. يجب أن يوضح الإغلاق الأسماء التي تم التحقق من صحتها واختبارات البريد الناجحة، مع الطوابع الزمنية وحدود التغطية المتبقية.
الاحتفاظ بأدلة التحقق المعزولة
مراجع: RFC 4035 §5.
قام المختبر الاصطناعي المحتفظ به في 7 نوفمبر 2026، والذي تم فحصه ولكن لم يتم إعادة تشغيله لهذه المراجعة، بتنفيذ عمليات فحص التشفير dnspython 2.9.2 مقابل DNSKEY الأصلي للاختبار المثبت. لقد تحققت من توقيعي DNSKEY وDS الأصليين، وطابقت DNSKEY الفرعي مع DS المصادق عليه، وتحققت من توقيعي DNSKEY وTLSA الفرعيين. تم التحقق من صحة خط الأساس المتوافق والسلسلة المستعادة. فشل المفتاح الفرعي الجديد فقط ضمن DS الأصلي القديم فقط في مطابقة DS الصريحة. يحتفظ التتبع بـ DS وDNSKEY وRRSIG وفترة التحقق من الصحة وكل عملية فحص. يعد هذا بمثابة التحقق من صحة السلسلة الموقعة دون اتصال، وليس تتبع SERVFAIL لمحلل متكرر أو انقطاع البريد المباشر. يتم الاحتفاظ بمقارنات مفتاح الشهادة المحلية بشكل منفصل؛ تظل نتائج الإنتاج و SMTP دون اختبار.