Bestätigen Sie, dass Gandi die aktive Zone hostet
Eine Domainregistrierung bei Gandi allein stellt nicht sicher, dass Gandi sein autoritatives DNS bedient. Überprüfen Sie den Delegierten Nameserver für die Domain zuerst. Gandi sagt, dass extern gehostete Nameserver über den externen Anbieter verwaltet werden müssen. Dieses Handbuch behandelt den dokumentierten Gandi LiveDNS-Editor, nicht eine Migration von einem anderen DNS Host.
Halten Sie die Mail-Service-Konfiguration getrennt von DNS Veröffentlichung. Ihr sendender Anbieter stellt die unterstützten Informationen zur Verfügung Wähler, Schlüssel oder CNAME Ziel und alle Anforderungen an die Umschlagdomäne. Gandi veröffentlicht diese Aufzeichnungen; Erstellen eines DKIM TXT Eintrag führt nicht dazu, dass ein unabhängiger Mailserver mit dem Signieren beginnt. Schließen Sie nicht auf einen universellen Gandi SPF include für eine Domain, nur weil ihr DNS dort gehostet wird.
Identifizieren Sie den DNS Administrator, den Eigentümer des Sendedienstes und die Person, die zur Genehmigung der Domänenrichtlinie berechtigt ist. Speichern Sie vorhandene Datensätze für alle betroffenen Namen. Prüfen Sie, ob die Domain mit einer gemeinsamen Zone verknüpft ist: Gandi dokumentiert, dass sich Änderungen an einer verknüpften Zone auf jede verknüpfte Domain auswirken. Eine scheinbar lokale Authentifizierungsänderung kann daher weitreichendere Auswirkungen haben.
Verwenden Sie eine begrenzte Editoränderung
Die dokumentierte Route ist Domäne, die ausgewählte Domäne und dann DNS Einträge. Der Tabellenmodus unterstützt das Hinzufügen oder Bearbeiten einzelner Einträge. Der Textmodus bearbeitet die gesamte Zone. Bei einer kleinen Authentifizierungsänderung lassen sich einzelne Datensätze leichter mit der genehmigten Anfrage vergleichen. Verwenden Sie den Textmodus nur, wenn der Herausgeber alles verstanden hat und den gesamten vorgeschlagenen Unterschied überprüft hat.
Gandi LiveDNS bietet die Möglichkeit, ein Backup zu speichern und wiederherzustellen. Erstellen Sie vor der Änderung ein Backup, aber gehen Sie nicht davon aus, dass eine spätere Wiederherstellung harmlos ist: Eine vollständige Wiederherstellung kann seit diesem Snapshot vorgenommene, nicht zusammenhängende Änderungen rückgängig machen. Zeichnen Sie auch einen gezielten Wiederherstellungsplan für die betroffenen Datensätze auf. Wenn es sich um eine gemeinsam genutzte Zone handelt, schließen Sie die anderen Domaininhaber in diesen Plan ein.
Erstellen Sie ein Veröffentlichungsarbeitsblatt mit dem vollständigen beabsichtigten Eigentümer, der Herausgeberbezeichnung, dem Typ und dem Wert. Für eine synthetische Domäne example.com ist der Apex example.com , its DMARC Eigentümer ist _dmarc.example.com und ein DKIM Eigentümer könnte rotation1._domainkey.example.com sein. Bei diesen Beispielbezeichnungen handelt es sich nicht um vom Anbieter generierte Einstellungen. Verwenden Sie den tatsächlichen Selektor und die Domäne des sendenden Dienstes.
Behalten Sie TXT Grenzen und -Namen bei
Gandis TXT Dokumentation verwendet @ für die bloße Domain und eine relative Bezeichnung für eine Subdomain. Seine Textzonenbeispiele stellen lange TXT Daten als mehrere in Anführungszeichen gesetzte Zeichenfolgen innerhalb eines Datensatzes dar, die jeweils nicht länger als 255 Zeichen sind. Dies unterscheidet sich vom Erstellen mehrerer unabhängiger TXT Datensätze.
Diese Unterscheidung ist für die Authentifizierung wichtig. Eine SPF Richtlinie kann aus mehreren Zeichenfolgen in einem einzelnen TXT Ressourcendatensatz bestehen, jedoch aus mehreren Kandidaten SPF Einträge beim gleichen Eigentümer verursachen einen SPF Fehler. Auch DKIM Schlüsselmaterial muss vollständig bleiben. Erstellen Sie nicht mehrere unabhängige Schlüssel oder Richtlinien, um eine Textfeldbeschränkung zu überschreiten, und fügen Sie keine visuellen Zeilenumbrüche in einen Schlüssel ein, ohne zu verstehen, wie der Editor sie serialisiert.
Verwenden Sie für SPF den Eintragstyp TXT . Verwenden Sie TXT oder CNAME für DKIM gemäß den Anweisungen des sendenden Anbieters, nicht entsprechend Ihren persönlichen Vorlieben. Ein CNAME an einem Selektor ist ein Alias für einen anderen Domänennamen und kein Container für Public-Key-Text. Wenn ein angeforderter CNAME mit vorhandenen Daten unter diesem Namen kollidiert, lösen Sie die Kollision, anstatt den aktiven Selektor eines anderen Dienstes zu ersetzen.
Veröffentlichen Sie die beabsichtigte Richtlinie, kein Beispiel
Ein SPF Update erfordert eine Überprüfung aller legitimen Absender und DNS-Lookup-Abhängigkeiten. Bewahren Sie die erforderlichen Autorisierungen in einer gültigen Richtlinie für die entsprechende Umschlagdomäne auf. Ein DMARC Update erfordert eine bewusste Richtlinienentscheidung für die sichtbare Von-Domäne und ihre anwendbaren Unterdomänen. Das Hinzufügen eines Anbieters ist kein Grund, eine weitere DMARC Richtlinie bei einem Eigentümer hinzuzufügen, wo bereits eine vorhanden ist.
Kopieren Sie Muster-Meldeadressen oder Punktberichte nicht ohne Genehmigung an Dritte. Ersetzen Sie eine erzwungene DMARC Richtlinie nicht durch Überwachung, nur weil ein Onboarding-Screenshot dies zeigt p=none. Stellen Sie fest, ob der neue Absender über einen unterstützten ausgerichteten Pfad verfügt, bevor Sie den domänenweiten Schutz ändern.
Wenn ein Anbieter Datensätze unterhalb einer separat delegierten untergeordneten Zone anfordert, veröffentlichen Sie diese in der Zone, die tatsächlich über die Autorität für dieses untergeordnete Element verfügt. Ein attraktiv aussehender Eintrag im übergeordneten Editor setzt eine Delegation nicht außer Kraft. Lösen Sie die DNS Besitzgrenze vor dem Speichern auf.
Überprüfung auf zwei technischen Ebenen
Fragen Sie jeden autorisierenden Server nach dem vollständigen beabsichtigten Eigentümer und Datensatztyp ab. Bewahren Sie die Antworten auf und vergleichen Sie den logischen TXT Inhalt, nicht nur, wie Zitate in einem Tool aussehen. Überprüfen Sie den gesamten Schlüssel, die Selektorbezeichnung, alle Aliasziele und die Datensatzgrenzen. Erst wenn verbindliche Antworten korrekt sind, sollten Sie zwischengespeicherte rekursive Antworten untersuchen. Die umfassende Ausbreitungsschätzung eines Anbieters ist kein Ersatz für die Diagnose eines falschen Eigentümernamens.
Aktivieren oder validieren Sie dann den Sendedienst mithilfe seines eigenen Workflows und senden Sie eine kontrollierte Nachricht. Notieren Sie den sichtbaren Absender, die Umschlagidentität, jedes DKIM d= und s=, sowie die Ergebnisse des vertrauenswürdigen Empfängers. SPF authentifiziert die Umschlagidentität; DKIM überprüft eine signierende Identität. DMARC benötigt einen Weiterleitungspfad, der mit dem sichtbaren Von im jeweiligen Modus ausgerichtet ist.
Fall eines synthetischen Fehlers: Gandi veröffentlicht den richtigen Schlüssel unter rotation1._domainkey.example.com , aber die Nachricht verwendet s=rotation2 und d=example.com. Der veröffentlichte Rotation1-Datensatz kann diese Signatur nicht validieren. Die Abhilfe besteht darin, den Selektor des Absenders mit der erforderlichen Veröffentlichung abzugleichen und nicht, DMARC zu schwächen oder einen nicht verwandten SPF Include hinzuzufügen.
Stellen Sie die Änderung wieder her und schließen Sie sie
Wenn die Veröffentlichung eine Route unterbricht, identifizieren Sie den genauen geänderten Eigentümer und stellen Sie den genehmigten vorherigen Datensatz wieder her. Stellen Sie keine gesamte freigegebene Zone wieder her, ohne zwischenzeitliche Änderungen und betroffene Domänen zu vergleichen. Behalten Sie die vorherigen Schlüssel so lange bei, wie es der Signaturdienst-Rotationsplan erfordert. DNS Löschung und Signierungsaktivierung müssen koordiniert werden.
Schließen Sie die Arbeit erst ab, wenn die aktive Zone, die vorgesehenen DNS Antworten, die Sendeaktivierung und die beobachtete Nachrichtenauthentifizierung übereinstimmen. Dies ist ein dokumentarischer Leitfaden mit einem Fall eines synthetischen Versagens. Als Live-Beweis wurde kein Gandi-Konto, keine autorisierende DNS Abfrage oder zugestellte Nachricht verwendet. Der Administrator muss diese Beobachtungen sammeln, bevor er den Produktionsabschluss genehmigt.
Verhindern Sie, dass ein Rollback einer gemeinsam genutzten Zone nicht damit zusammenhängende Arbeiten rückgängig macht
Der schriftliche Fall GAN-01 geht davon aus, dass example.com und example.net eine Zone teilen. Ein später genehmigter Website-Datensatz wurde nach einer Sicherung hinzugefügt, während der neue Selektor auf example.com falsch ist. Durch die Wiederherstellung der gesamten älteren Sicherung würde auch diese Website-Änderung im gesamten verknüpften Bereich entfernt. Vergleichen Sie aktuelle Datensätze, identifizieren Sie die genehmigte Nur-Selektor-Reparatur und bestätigen Sie beide Domaininhaber, bevor Sie sie anwenden. Hier wurde keine Zone, Sicherung oder Wiederherstellung überprüft oder durchgeführt.
Behalten Sie die Durchsetzungsgrenze bei
RFC 9989 Abschnitt 7.4 erfordert für die Veröffentlichung von Domains ein gültiges DKIM , nicht nur SPF p=rejectund warnt vor der Interoperabilität von indirekter E-Mail und Mailinglisten. Ein einziger erfolgreicher Direktnachrichtentest ist kein Beweis dafür, dass jede legitime Route für strengere Richtlinien bereit ist. Behalten Sie den vorhandenen zugelassenen Schutz bei, während Sie die tatsächliche Lücke diagnostizieren. Jede politische Änderung erfordert eine eigene Entscheidung.