تأكد من أن غاندي يستضيف المنطقة النشطة
إن تسجيل النطاق في Gandi لا يثبت في حد ذاته أن Gandi يخدم DNS الرسمي الخاص به. التحقق من المفوض خوادم الأسماء للمجال أولا. يقول غاندي أنه يجب إدارة خوادم الأسماء المستضافة خارجيًا من خلال الموفر الخارجي. يغطي هذا الدليل محرر Gandi LiveDNS الموثق، وليس الترحيل من مضيف DNS آخر.
احتفظ بتكوين خدمة البريد منفصلاً عن نشر DNS . يوفر مزود الإرسال الخاص بك الدعم محدد، مفتاح أو CNAME الهدف وأي متطلبات لنطاق المغلف. ينشر غاندي تلك السجلات. إنشاء أ DKIM سجل TXT لا يتسبب في بدء خادم بريد غير ذي صلة بالتوقيع. لا تستنتج غاندي العالمي SPF تضمين لمجال لمجرد أن DNS الخاص به مستضاف هناك.
حدد مسؤول DNS ومالك خدمة الإرسال والشخص المخول بالموافقة على سياسة المجال. حفظ مجموعات السجلات الموجودة لجميع الأسماء المتأثرة. تحقق مما إذا كان المجال مرتبطًا بمنطقة مشتركة: تؤثر مستندات Gandi التي تتغير إلى منطقة مرتبطة على كل مجال مرتبط. وبالتالي، فإن تعديل المصادقة المحلية على ما يبدو يمكن أن يكون له تأثير أوسع.
استخدم تغيير محرر محدود
المسار الموثق هو المجال، المجال المحدد، ثم سجلات DNS . يدعم وضع الجدول إضافة أو تحرير الإدخالات الفردية؛ يقوم وضع النص بتحرير المنطقة بأكملها. بالنسبة لتغيير بسيط في المصادقة، تكون السجلات الفردية أسهل في المقارنة مع الطلب المعتمد. استخدم وضع النص فقط عندما يتم فهم المحرر ومراجعة الاختلاف المقترح بالكامل.
يقدم Gandi LiveDNS إمكانية حفظ نسخة احتياطية واستعادة. خذ نسخة احتياطية قبل التغيير، ولكن لا تفترض أن استعادتها لاحقًا غير ضارة: يمكن أن تؤدي الاستعادة الكاملة إلى عكس التعديلات غير ذات الصلة التي تم إجراؤها منذ تلك اللقطة. قم بتسجيل خطة استرداد مستهدفة للسجلات المتأثرة أيضًا. إذا كانت هناك منطقة مشتركة، فقم بتضمين مالكي النطاق الآخرين في تلك الخطة.
قم بإنشاء ورقة عمل منشور تحتوي على المالك المقصود بالكامل وتصنيف المحرر والنوع والقيمة. بالنسبة للنطاق الاصطناعي example.com ، فإن القمة هي example.com ، وهو DMARC المالك هو _dmarc.example.com وقد يكون مالك DKIM هو rotation1._domainkey.example.com . هذه التسميات النموذجية ليست إعدادات أنشأها الموفر. استخدم المحدد والمجال الفعليين من خدمة الإرسال.
الحفاظ على حدود وأسماء TXT
تستخدم وثائق TXT الخاصة بـ Gandi @ للمجال المجرد وتسمية نسبية للمجال الفرعي. تمثل أمثلة منطقة النص بيانات TXT الطويلة كسلاسل متعددة مقتبسة ضمن سجل واحد، لا يزيد طول كل منها عن 255 حرفًا. وهذا يختلف عن إنشاء سجلات TXT مستقلة متعددة.
هذا التمييز مهم للمصادقة. يمكن أن تتكون سياسة SPF واحدة من عدة سلاسل أحرف في سجل مورد TXT واحد، ولكن يمكن أن تتكون من عدة سلاسل أحرف سجلات SPF في نفس المالك يسبب خطأ SPF . يجب أيضًا أن تظل المواد الرئيسية DKIM كاملة. لا تقم بإنشاء عدة مفاتيح أو سياسات غير مرتبطة لتجاوز حد حقل النص، ولا تقم بإدراج فواصل أسطر مرئية في المفتاح دون فهم كيفية قيام المحرر بتسلسلها.
استخدم نوع سجل TXT لنظام التعرف على SPF . استخدم TXT أو CNAME لـ DKIM وفقًا لتعليمات موفر الإرسال، وليس وفقًا للتفضيلات الشخصية. يعد CNAME الموجود في المحدد اسمًا مستعارًا لاسم نطاق آخر، وليس حاوية لنص المفتاح العام. إذا اصطدم CNAME المطلوب بالبيانات الموجودة بهذا الاسم، فقم بحل التصادم بدلاً من استبدال المحدد النشط لخدمة أخرى.
نشر السياسة المقصودة، وليس عينة
يحتاج تحديث نظام التعرف SPF إلى مراجعة جميع المرسلين الشرعيين وتبعيات بحث DNS. الحفاظ على التراخيص اللازمة في سياسة واحدة صالحة في مجال المغلف ذي الصلة. يحتاج تحديث DMARC إلى قرار مدروس بشأن السياسة للنطاق المرئي من ونطاقاته الفرعية القابلة للتطبيق. لا تعد إضافة موفر سببًا لإضافة سياسة DMARC أخرى إلى مالك موجود بالفعل.
لا تقم بنسخ عنوان نموذجي لإعداد التقارير أو توجيه التقارير إلى جهة خارجية دون الحصول على موافقة. لا تستبدل سياسة DMARC المفروضة بالمراقبة فقط بسبب ظهور لقطة شاشة الإعداد p=none. حدد ما إذا كان لدى المرسل الجديد مسارًا محاذيًا مدعومًا قبل تغيير الحماية على مستوى المجال.
إذا طلب الموفر سجلات أسفل منطقة فرعية مفوضة بشكل منفصل، فقم بنشرها في المنطقة التي تتمتع فعليًا بصلاحية ذلك الطفل. الإدخال ذو المظهر الجذاب في المحرر الأصلي لا يتجاوز التفويض. قم بحل حدود ملكية DNS قبل الحفظ.
تحقق على طبقتين تقنيتين
استعلم عن كل خادم موثوق للمالك المقصود بالكامل ونوع السجل. احتفظ بالإجابات وقارن محتوى TXT المنطقي، وليس فقط كيفية ظهور علامات الاقتباس في الأداة. تحقق من المفتاح بالكامل وتسمية المحدد وأي اسم مستعار مستهدف وحدود مجموعة السجلات. مرة واحدة فقط تكون الإجابات الموثوقة صحيحة، يجب عليك التحقق من الإجابات العودية المخزنة مؤقتًا. لا يعد تقدير الانتشار الواسع للموفر بديلاً عن تشخيص اسم مالك غير صحيح.
ثم قم بتنشيط خدمة الإرسال أو التحقق من صحتها باستخدام سير العمل الخاص بها وإرسال رسالة يتم التحكم فيها. سجل من وهوية المغلف المرئية وكل DKIM d= و s=, ونتائج جهاز الاستقبال الموثوق به. يقوم نظام التعرف على هوية SPF بتوثيق هوية المغلف؛ يتحقق DKIM من هوية التوقيع. يحتاج DMARC إلى مسار تمرير يتماشى مع المسار المرئي من ضمن الوضع القابل للتطبيق.
حالة الفشل الاصطناعي: ينشر Gandi المفتاح الصحيح على rotation1._domainkey.example.com ، لكن الرسالة تستخدم s=rotation2 و d=example.com. لا يمكن لسجل التدوير 1 المنشور التحقق من صحة هذا التوقيع. الحل هو التوفيق بين محدد المرسل والنشر المطلوب، وليس إضعاف DMARC أو إضافة إضافة SPF غير ذات صلة.
استرداد وإغلاق التغيير
إذا قطع النشر مسارًا، فحدد المالك الذي تم تغييره بالضبط واستعد مجموعة السجلات السابقة المعتمدة. لا تقم باستعادة منطقة مشتركة بأكملها دون مقارنة التغييرات المتداخلة والمجالات المتأثرة. الاحتفاظ بالمفاتيح السابقة للمدة التي تتطلبها خطة تناوب خدمة التوقيع؛ يجب تنسيق حذف DNS وتفعيل التوقيع.
قم بإغلاق العمل فقط عندما توافق المنطقة النشطة وإجابات DNS المقصودة وإرسال التنشيط ومصادقة الرسالة المرصودة. هذا دليل وثائقي مع حالة فشل اصطناعي. لم يتم استخدام أي حساب غاندي أو استعلام DNS موثوق أو رسالة تم تسليمها كدليل حي. يجب على المسؤول جمع تلك الملاحظات قبل الموافقة على إكمال الإنتاج.
إيقاف التراجع عن المنطقة المشتركة من التراجع عن العمل غير ذي الصلة
تفترض الحالة المكتوبة GAN-01 أن example.com و example.net يشتركان في منطقة. تمت إضافة سجل موقع ويب تمت الموافقة عليه لاحقًا بعد إجراء نسخة احتياطية، في حين أن المحدد الجديد الموجود على example.com خاطئ. ستؤدي استعادة النسخة الاحتياطية القديمة بالكامل إلى إزالة تغيير موقع الويب هذا عبر النطاق المرتبط. قارن السجلات الحالية، وحدد الإصلاح المعتمد للمحدد فقط، وتأكد من مالكي النطاق قبل تطبيقه. لم يتم فحص أو تنفيذ أي منطقة أو نسخة احتياطية أو استعادة هنا.
الحفاظ على حدود التنفيذ
RFC 9989 يتطلب القسم 7.4 DKIM صالحًا، وليس نظام التعرف على SPF وحده، لنشر النطاقات p=reject، ويحذر من إمكانية التشغيل التفاعلي للبريد غير المباشر والقائمة البريدية. إن نجاح اختبار واحد للرسائل المباشرة لا يشكل دليلاً على أن كل طريق مشروع جاهز لسياسة أقوى. احتفظ بالحماية المعتمدة الحالية أثناء تشخيص الفجوة الفعلية؛ أي تغيير في السياسة يحتاج إلى قرار خاص به.