حدد خدمة DNS التي تتحكم في التغيير
يعد نشر سجل المصادقة بمثابة تغيير في تكوين الثقة الخاص بالمجال. ابدأ بتحديد الخدمة المفوضة وفريق DigitalOcean الصحيح والمنطقة المحددة التي تحتوي على اسم المالك المقصود. لا يحدد موقع الويب الذي يعمل على Droplet مكان استضافة DNS الخاص بالمجال الخاص به. الحساب الذي يعرض المجال أيضًا لا يثبت أن التفويض العام يشير إلى هناك.
حدود DNS الخاصة بـ DigitalOcean تمييز استضافة DNS الخاصة بها عن تسجيل النطاق. كما يقومون أيضًا بتوثيق الحد الأدنى لسجل TTL لمدة ثلاثين ثانية ويذكرون أن خوادم الأسماء الخاصة بها لا تدعم المجالات التي تدعم DNSSEC. تعامل مع التفويض الموقّع الحالي كقرار توافق لمالك المجال، وليس دعوة لتعطيل الحماية أثناء تمرين إعداد البريد الإلكتروني. يفترض هذا الدليل وجود منطقة مستضافة على DigitalOcean ومتوافقة بالفعل؛ لا يتم ترحيل التفويض أو التغيير DNSSEC.
حدد التغيير المطلوب قبل فتح المحرر. بالنسبة لكل سجل مقترح، حدد خدمة الإرسال التي قدمته، وتدفق الأعمال الذي يدعمه، والمالك المتوقع ونوع السجل، والموافق. احتفظ بسجلات الويب والبريد الوارد والتحقق غير ذات الصلة خارج نطاق التغيير ما لم تتطلب تبعية معينة المراجعة.
الحفاظ على نقطة بداية صالحة للاستعمال
يقوم الموفر بتوثيق خيار تنزيل المنطقة ضمن الشبكات والمجالات وقائمة المزيد الخاصة بالمجال. إنه تعليمات تصدير المنطقة وصف ملف نص عادي يحتوي على سجلات المنطقة. استخدم التصدير المعتمد كمدخل واحد في خطة الاسترداد، مصحوبًا بالفرق المقترح وملكية السجل ومعايير الاستعادة المعتمدة. لا يعد التصدير دليلاً على وجود زر الاستعادة أو أنه يمكن استرداد حالة سابقة دون التأثير على التغييرات اللاحقة.
في ورقة الأدلة المقترحة، قم بإعطاء اسم المالك المقصود عمودًا خاصًا به. ينتمي نوع السجل وقيمته إلى أعمدة منفصلة. يؤدي هذا إلى منع فشل المراجعة الشائعة: يتم إرفاق سياسة صحيحة باسم DNS الخاطئ لأنه تم التعامل مع المالك الكامل والتسمية النسبية والقيمة النصية كسلاسل قابلة للتبديل.
استخدم نموذج المحرر الموثق
الحالي دليل إدارة السجلات يقوم بتوجيه المشغلين عبر الشبكات والمجالات والمجال المحدد، ثم إنشاء سجل. بالنسبة إلى TXT ، يقبل حقل اسم المضيف علامة القمة @ أو بادئة النطاق الفرعي، بينما تحتفظ قيمة TXT بالنص. يصف SPF ومباشرة DKIM النشر الرئيسي من خلال TXT ويدعم سجلات NS لتفويض النطاق الفرعي.
قم بترجمة المالك المؤهل بالكامل المطلوب إلى نموذج دخول تلك المنطقة بشكل متعمد. بالنسبة لمنطقة example.com الخيالية، فإن النسبي DMARC تمثل التسمية _dmarc _dmarc.example.com . هذا شرح لبناء الاسم، وليس قيمة سياسة مقترحة أو ادعاء بأنه تم حفظ أي سجل. يجب التحقق من المالك العام المتوقع بشكل مستقل عن كيفية عرض النموذج له.
استخدم المادة الحالية الخاصة بخدمة الإرسال الخاصة بالحساب من أجل أ محدد DKIMأو المفتاح العام أو الهدف المفوض. لا يختار مضيف DNS هوية التوقيع الخاصة بالمرسل. إذا كانت الخدمة تتطلب أ CNAME بدلاً من مفتاح TXT المباشر، احتفظ بهذا التمييز وافحص المالك الدقيق بحثًا عن التبعيات الموجودة قبل الموافقة على الاستبدال. لا تستنتج أبدًا هدفًا مفقودًا من لقطة شاشة الإعداد الخاصة بعميل آخر.
احتفظ بسجلات المصادقة منفصلة منطقيًا
RFC 7208 الأقسام 3.2 و3.3 التمييز بين مرشح متعدد سجلات SPF من سلاسل متعددة ضمن سجل واحد. لا تقم بإضافة سياسة SPF منافسة ثانية لخدمة جديدة. لا يخبرك الاقتباس أو تقسيم السلسلة في العرض بحد ذاته ما إذا كان سيتم تقييم سجل واحد أو عدة سجلات. افحص حدود السجل التي تم إرجاعها والقيمة المتسلسلة الناتجة.
بالنسبة إلى DKIM ، RFC 6376 القسم 3.1 يربط البحث الرئيسي بالمحدد ومجال التوقيع. لا يمكن للنشر وحده إثبات أن التطبيق قد اختار هذا المفتاح أو وقع على الرسالة المقصودة. يجب أن يشير تكوين المرسل ومواد DNS العامة إلى نفس الهوية المخططة.
ينتمي DMARC إلى مالك _dmarc المعمول به، وليس في أي مكان يوجد فيه سجل نظام التعرف على SPF . RFC 9989 الأقسام 4.1 و4.4 وصف السياسة و تنسيق علاقة. لا تعد نتيجة DNS فقط دليلاً على نجاح البريد المحاذي، كما أن آلية المصادقة التمريرية لمجال غير ذي صلة ليست كافية.
التحقق من النشر والاستخدام الفعلي كنتائج مختلفة
يجب أن تلتقط خطة التحقق المعتمدة الإجابات الموثوقة قبل التعديل المعتمد وبعده، بما في ذلك الخادم والطابع الزمني والمالك والنوع وTTL ومجموعة السجلات الكاملة. اجعل الإجابة الغائبة مميزة عن المهلة أو الاستعلام المرسل إلى الخادم الخطأ. إن مقارنة لقطة شاشة لوحة المعلومات فقط مع لقطة شاشة لوحة معلومات أخرى يؤدي إلى تفويت خطوة النشر العامة.
بعد ذلك، احصل على رسالة يتم التحكم فيها من خلال تدفق التطبيق الفعلي واحتفظ بنتائج جهاز الاستقبال الموثوق به. قارن النطاق المرئي من وهوية المغلف ومجال توقيع DKIM والمحدد بالتكوين المعتمد. سجل المصادقة والمحاذاة بشكل منفصل عن التسليم أو وضع المجلد. يجب ألا يملأ بحث DNS الناجح خلية اختبار الرسائل الفارغة.
إذا كان المالك أو القيمة التي تمت ملاحظتها تختلف عن الخطة، فقم بإيقاف المزيد من التغييرات مؤقتًا وحدد أصغر إجراء استرداد تمت الموافقة عليه. يمكن أن تحتفظ ذاكرة التخزين المؤقت بإجابة سابقة، لذا تحتاج ملاحظة الاسترداد إلى التوقيت والسياق بدلاً من الوعد بالاتساق العالمي الفوري. احتفظ بسجل الحادث محددًا بدرجة كافية لتمييز خطأ الإدخال عن البيانات القديمة أو تكوين الإرسال غير النشط.
مراجعة خيالية وأدلة بارزة
يتلقى المراجع الخيالي مسودة تحتوي على قيمة DMARC تبدو صحيحة في قمة example.com . اكتشف المراجع عدم تطابق المالك قبل الإرسال وقام بتغيير المالك المقترح إلى _dmarc . لا تزال ورقة العمل لا تحتوي على إجابات موثوقة قبل/بعد ولا توجد رسالة مستلمة. إنها مراجعة ورقية، وليست إرشادات حول DigitalOcean ناجحة.
يبقى المطلب الأصلي المحدد مفتوحًا: دليل النشر الحالي لـ DigitalOcean مع استعلامات موثوقة قبل/بعد ورسالة تم التحقق منها بشكل مستقل. بوابة التشغيل هي: تأكيد هوية المنتج الحالي والوثائق المملوكة للمزود؛ اختبار رسالة حقيقية أو سجلات منشورة. اذكر ميزات المجال المخصص غير المدعومة بأمانة. تدعم الوثائق سير العمل المقترح هذا، ولكن تظل قابلية تطبيق المستأجر والاختبارات الأصلية والمراجعة الفنية للشركات الصغيرة والمتوسطة والفحص البصري المباشر وموافقة نشر المالك دون حل. لم يتم إجراء أي عملية DNS أو حساب.