Los diferentes servidores autorizados deben proporcionar una visión coherente de la zona a la que sirven. Cuando las comprobaciones de autenticación no coincidan, consulte cada autoridad anunciada para el mismo propietario, tipo y clase. Mantenga las respuestas sin editar antes de normalizarlas; una lista concisa de valores puede ocultar referencias, errores y faltan indicadores de autoridad.
Establecer qué servidores importan
Referencias: RFC 1034 §4.2, RFC 1035 §4.1.1.
Lea la delegación principal y compárela con el conjunto NS del ápice secundario. Resuelva los nombres de servidores anunciados en direcciones y registre qué dirección se consultó. Un nombre de host puede tener varias direcciones y anycast puede enrutar la misma dirección a diferentes instancias. Por lo tanto, una consulta exitosa no demuestra que todos los backends posibles estén actualizados.
Utilice una consulta directa no recursiva como cavar @SERVER_IP _dmarc.example .test. TXT +norecurso. Inspeccione el código de respuesta y la bandera AA, las secciones de respuesta y autoridad, y cualquier alias. Una referencia o una respuesta no autorizada de un servidor que usted esperaba que fuera autorizado es un hallazgo diferente a una respuesta autorizada con contenido obsoleto.
Compara datos sin destruir la estructura
Referencias: RFC 2181 §5, RFC 1035 §3.3.14, RFC 1982 §3.2.
El orden de los conjuntos de registros DNS no es una prioridad política. Ordene objetos de registro independientes para comparar, pero conserve el orden de las cadenas dentro de cada uno registro TXT. Los TTL pueden diferir debido a la configuración o al contexto de la consulta; registrarlos en lugar de descartarlos silenciosamente. Una cuenta regresiva TTL recursiva no debe compararse como si fuera la configuración de zona de una autoridad.
Consulta SOA como contexto de soporte. Una serie SOA no es un hash de la zona. Las publicaciones seriadas coincidentes no pueden probar registros coincidentes, y un número entero impreso más grande no es universalmente más nuevo porque la aritmética serial se ajusta. Según RFC 1982 , las comparaciones que separan exactamente la mitad del espacio serial no están definidas; no los fuerce a realizar un orden más nuevo o más antiguo. Compare los datos solicitados directamente y utilice los registros de transferencia o publicación del proveedor para explicar las diferencias.
Reproducir desacuerdos y reordenamientos inofensivos.
Cree dos autoridades aisladas, por ejemplo.test. Ambos publican el mismo conjunto MX , pero devuelven sus registros en diferentes órdenes. La comparación normalizada esperada es igual. Luego dale autoridad A _dmarc.example.test TXT "v=DMARC1; p=none" y B _dmarc.example.test TXT "v=DMARC1; p=reject". La comparación esperada es desigual incluso si ambas series SOA son deliberadamente iguales.
Consulta ambas autoridades con el mismo tipo y opciones. Almacene la dirección del servidor, la marca de tiempo, el código de respuesta, las banderas, los registros completos y el número de serie. La comparación fuera de línea original se complementa con la observación histórica de bucle invertido que se conserva a continuación. No se modificó ninguna política pública ni servidor DNS de producción.
Reparar la ruta de publicación.
Referencias: RFC 1034 §4.3.5, RFC 8767 §4.
Compruebe si un servidor es un secundario obsoleto, un proveedor retirado que todavía está presente en la delegación o un destino que nunca recibió la actualización deseada. Repare la publicación compatible o la ruta de transferencia en lugar de realizar ediciones repetidas aleatorias en varios paneles. Confirme los mismos datos esperados en cada autoridad probada después del cambio.
Repita las observaciones de las redes relevantes cuando se sospeche de anycast o vistas divididas. Distinguir una visión política intencional de una inconsistencia pública accidental. Termine con evidencia de correo recursiva y representativa porque el acuerdo autorizado por sí solo no puede eliminar las respuestas ya almacenadas en caché ni demostrar la autenticación de un mensaje.
Evidencia de laboratorio histórica retenida
La captura retenida tiene fecha del 7 de noviembre de 2026. A continuación se describe esa observación histórica limitada, no una nueva ejecución o prueba de EmailAuth.ai .
Se devolvieron consultas UDP reales a dos autoridades de zona fija de loopback p=none y p=reject para el mismo propietario absoluto TXT . Ambas respuestas tenían AA configurado. La captura conserva cada punto final, hora UTC, TTL, tipo de respuesta, código y bytes de cable. Esto demuestra una inconsistencia real observada en el laboratorio; no examina un servicio público anycast. Las etiquetas de captura son autoridad_A_política; autoridad_B_política. El corredor retenido y las capturas sin procesar se incluyen en este paquete de revisión como evidencia histórica. Fueron inspeccionados, no vueltos a ejecutar para esta revisión. DNS de producción, DNSSEC y los resultados SMTP aún no se han probado.