Bekræft, at Gandi er vært for den aktive zone
En domæneregistrering hos Gandi fastslår ikke i sig selv, at Gandi betjener sin autoritative DNS . Tjek de delegerede navneservere for domænet først. Gandi siger, at eksternt hostede navneservere skal administreres gennem den eksterne udbyder. Denne vejledning dækker den dokumenterede Gandi LiveDNS-editor, ikke en migrering fra en anden DNS vært.
Hold mail-tjenestekonfiguration adskilt fra DNS udgivelse. Din afsendende udbyder leverer det understøttet vælger, nøgle eller CNAME mål og eventuelle krav til envelope-domæne. Gandi udgiver disse optegnelser; skabe en DKIM TXT post får ikke en ikke-relateret mailserver til at begynde at signere. Udled ikke en universel Gandi SPF inkludere for et domæne, blot fordi dets DNS er hostet der.
Identificer DNS administratoren, ejeren af den afsendende tjeneste og den person, der er autoriseret til at godkende domænepolitikken. Gem eksisterende postsæt for alle berørte navne. Tjek, om domænet er knyttet til en delt zone: Gandi-dokumenter, der ændres til en tilknyttet zone, påvirker hvert linket domæne. En tilsyneladende lokal autentificeringsredigering kan derfor have en bredere effekt.
Brug en afgrænset editorændring
Den dokumenterede rute er Domain, det valgte domæne, derefter DNS Records. Tabeltilstand understøtter tilføjelse eller redigering af individuelle poster; teksttilstand redigerer hele zonen. For en lille autentificeringsændring er individuelle poster nemmere at sammenligne med den godkendte anmodning. Brug kun teksttilstand, når editoren er forstået, og hele den foreslåede forskel er blevet gennemgået.
Gandi LiveDNS tilbyder Gem en sikkerhedskopi og gendan. Tag en sikkerhedskopi før ændringen, men antag ikke, at gendannelse af den senere er harmløs: En fuld gendannelse kan vende urelaterede redigeringer, der er foretaget siden det øjebliksbillede. Optag også en målrettet genopretningsplan for de berørte optegnelser. Hvis en delt zone er involveret, skal du inkludere de andre domæneejere i den plan.
Opret et publikationsarbejdsark med den fulde tilsigtede ejer, redaktøretiket, type og værdi. For et syntetisk domæne example.com er spidsen example.com , its DMARC ejer er _dmarc.example.com og en DKIM ejer kan være rotation1._domainkey.example.com . Disse eksempeletiketter er ikke udbydergenererede indstillinger. Brug selve vælgeren og domænet fra afsendertjenesten.
Bevar TXT grænser og navne
Gandis TXT dokumentation bruger @ for det blotte domæne og en relativ etiket for et underdomæne. Dens tekstzone-eksempler repræsenterer lange TXT data som flere citerede strenge inden for én post, hver ikke længere end 255 tegn. Dette er forskelligt fra at oprette flere uafhængige TXT poster.
Denne sondring har betydning for autentificeringen. Én SPF politik kan bestå af flere tegnstrenge i en enkelt TXT ressourcepost, men flere kandidater SPF optager hos samme ejer forårsage en SPF fejl. DKIM nøglemateriale skal også forblive komplet. Opret ikke flere ikke-relaterede nøgler eller politikker for at komme forbi en tekstfeltgrænse, og indsæt ikke visuelle linjeskift i en nøgle uden at forstå, hvordan editoren serialiserer dem.
Brug TXT posttypen til SPF . Brug TXT eller CNAME til DKIM i henhold til den afsendende udbyders instruktioner, ikke efter personlige præferencer. Et CNAME ved en vælger er et alias til et andet domænenavn, ikke en beholder til offentlig nøgletekst. Hvis en anmodet CNAME kolliderer med eksisterende data ved dette navn, skal du løse kollisionen i stedet for at erstatte en anden tjenestes aktive vælger.
Udgiv den tilsigtede politik, ikke et eksempel
En SPF opdatering kræver en gennemgang af alle legitime afsendere og DNS-opslagsafhængigheder. Bevar nødvendige godkendelser i én gyldig politik på det relevante konvolutdomæne. En DMARC opdatering kræver en bevidst politisk beslutning for det synlige From-domæne og dets relevante underdomæner. Tilføjelse af en udbyder er ikke en grund til at tilføje en anden DMARC politik hos en ejer, hvor en allerede eksisterer.
Kopier ikke en prøverapporteringsadresse eller punktrapporter til en tredjepart uden godkendelse. Erstat ikke en håndhævet DMARC politik med overvågning udelukkende fordi et onboarding-skærmbillede viser p=none. Bestem, om den nye afsender har en understøttet tilpasset sti, før du ændrer domænedækkende beskyttelse.
Hvis en udbyder anmoder om poster under en separat delegeret underordnet zone, skal du offentliggøre dem i den zone, der faktisk har autoritet for det pågældende barn. Et attraktivt udseende indlæg i overordnet editor tilsidesætter ikke en delegation. Løs DNS ejerskabsgrænsen, før du gemmer.
Bekræft på to tekniske lag
Spørg hver autoritativ server for den komplette tilsigtede ejer og posttype. Bevar svarene og sammenlign det logiske TXT indhold, ikke kun hvordan citater ser ud i et værktøj. Tjek hele nøglen, vælgeretiketten, ethvert alias-mål og de rekordsatte grænser. Først når autoritative svar er korrekte, bør du undersøge cachelagrede rekursive svar. En udbyders brede udbredelsesestimat er ikke en erstatning for diagnosticering af et forkert ejernavn.
Aktiver eller valider derefter afsendertjenesten ved hjælp af sin egen arbejdsgang og send en kontrolleret besked. Registrer de synlige From, kuvertidentitet, hver DKIM d= og s=, og betroede modtagerresultater. SPF autentificerer kuvertidentiteten; DKIM verificerer en signeringsidentitet. DMARC har brug for en passage, der er justeret med den synlige Fra under den relevante tilstand.
Syntetisk fejltilfælde: Gandi udgiver den korrekte nøgle på rotation1._domainkey.example.com , men meddelelsen bruger s=rotation2 og d=example.com. Den offentliggjorte rotation1-post kan ikke validere denne signatur. Løsningen er at forene afsenderens vælger med dens påkrævede offentliggørelse, ikke at svække DMARC eller tilføje en ikke-relateret SPF inkludering.
Gendan og luk ændringen
Hvis udgivelsen bryder en rute, skal du identificere den nøjagtige ændrede ejer og genoprette det godkendte tidligere rekordsæt. Gendan ikke en hel delt zone uden at sammenligne mellemliggende ændringer og berørte domæner. Behold tidligere nøgler, så længe underskriver-service-rotationsplanen kræver; DNS sletning og underskriftsaktivering skal koordineres.
Luk kun arbejdet, når den aktive zone, tilsigtede DNS svar, afsendelsesaktivering og observeret meddelelsesgodkendelse stemmer overens. Dette er en dokumentarguide med en syntetisk fejlkasse. Ingen Gandi-konto, autoritativ DNS forespørgsel eller leveret besked blev brugt som levende bevis. Administratoren skal indsamle disse bemærkninger, før færdiggørelsen af produktionen godkendes.
Stop en tilbagerulning af delt zone fra at fortryde ikke-relateret arbejde
Skriftlig case GAN-01 antager, example.com og example.net deler en zone. En senere godkendt hjemmesidepost blev tilføjet efter en backup, mens den nye vælger på example.com er forkert. Gendannelse af hele den ældre sikkerhedskopi ville også fjerne denne hjemmesideændring på tværs af det tilknyttede område. Sammenlign nuværende registreringer, identificer den godkendte reparation, der kun kan vælges, og bekræft begge domæneejere, før du anvender den. Ingen zone, backup eller gendannelse blev inspiceret eller udført her.
Bevar håndhævelsesgrænsen
RFC 9989 Afsnit 7.4 kræver gyldig DKIM , ikke SPF alene, for domæneudgivelse p=reject, og advarer om interoperabilitet mellem indirekte mail og mailinglister. En enkelt vellykket test med direkte beskeder er ikke et bevis på, at enhver legitim rute er klar til en stærkere politik. Behold eksisterende godkendt beskyttelse, mens du diagnosticerer det faktiske hul; enhver politikændring kræver sin egen beslutning.