Varmista, että Gandi isännöi aktiivista vyöhykettä
Verkkotunnuksen rekisteröinti Gandissa ei itsessään tarkoita, että Gandi palvelee sen arvovaltaista DNS . Tarkista valtuutetut nimipalvelimet verkkotunnukselle ensin. Gandi sanoo, että ulkoisesti isännöityjä nimipalvelimia on hallittava ulkoisen palveluntarjoajan kautta. Tämä opas kattaa dokumentoidun Gandi LiveDNS -editorin, ei siirron toisesta DNS isännästä.
Pidä sähköpostipalvelun määritykset erillään DNS julkaisusta. Lähettävä palveluntarjoajasi toimittaa sen tuen valitsin, avain tai CNAME kohde ja mahdolliset kirjekuoren verkkotunnuksen vaatimukset. Gandi julkaisee nämä levyt; luominen a DKIM TXT tietue ei aiheuta siihen liittyvää sähköpostipalvelinta aloittamaan allekirjoituksen. Älä päättele yleismaailmallista Gandia SPF sisällyttää verkkotunnukselle vain siksi, että sen DNS isännöi siellä.
Tunnista DNS järjestelmänvalvoja, lähetyspalvelun omistaja ja henkilö, joka on valtuutettu hyväksymään toimialueen käytännön. Tallenna olemassa olevat tietuejoukot kaikille kyseisille nimille. Tarkista, onko verkkotunnus linkitetty jaettuun vyöhykkeeseen: linkitetyksi vyöhykkeeksi muuttuvat Gandi-asiakirjat vaikuttavat jokaiseen linkitettyyn verkkotunnukseen. Näennäisesti paikallisella todennusmuokkauksella voi siis olla laajempi vaikutus.
Käytä rajoitettua editorin muutosta
Dokumentoitu reitti on Domain, valittu toimialue ja sitten DNS tietueet. Taulukkotila tukee yksittäisten merkintöjen lisäämistä tai muokkaamista; tekstitila muokkaa koko vyöhykettä. Pienellä todennusmuutoksella yksittäisiä tietueita on helpompi verrata hyväksyttyyn pyyntöön. Käytä tekstitilaa vain, kun editori on ymmärretty ja koko ehdotettu ero on tarkistettu.
Gandi LiveDNS tarjoaa Tallenna varmuuskopion ja Palauta. Ota varmuuskopio ennen muutosta, mutta älä oleta, että sen palauttaminen myöhemmin on vaaratonta: täydellinen palautus voi kumota tuon tilannekuvan jälkeen tehdyt asiaankuulumattomat muokkaukset. Kirjaa myös kohdennettu elvytyssuunnitelma vahingoittuneille tietueille. Jos kyseessä on jaettu vyöhyke, sisällytä muut toimialueen omistajat kyseiseen suunnitelmaan.
Luo julkaisutaulukko, jossa on täydellinen omistaja, editorin tunniste, tyyppi ja arvo. Synteettisen verkkotunnuksen example.com kärki on example.com , sen DMARC omistaja on _dmarc.example.com ja DKIM omistaja voi olla rotation1._domainkey.example.com . Nämä esimerkkitunnisteet eivät ole palveluntarjoajan luomia asetuksia. Käytä lähetyspalvelun varsinaista valitsinta ja verkkotunnusta.
Säilytä TXT -rajat ja nimet
Gandin TXT dokumentaatiossa käytetään @-merkkiä paljaalle verkkotunnukselle ja suhteellista tunnistetta aliverkkotunnukselle. Sen tekstivyöhykeesimerkit edustavat pitkiä TXT tietoja useana lainausmerkkijonona yhdessä tietueessa, joista jokainen on enintään 255 merkkiä pitempi. Tämä eroaa useiden itsenäisten TXT tietueiden luomisesta.
Tällä erolla on merkitystä todennuksen kannalta. Yksi SPF käytäntö voi koostua useista merkkijonoista yhdessä TXT resurssitietueessa, mutta useista ehdokkaista SPF tietueita samalla omistajalla aiheuttaa SPF virheen. DKIM avainmateriaalin on myös oltava täydellinen. Älä luo useita toisiinsa liittymättömiä avaimia tai käytäntöjä ylittääksesi tekstikenttärajoituksen, äläkä lisää visuaalisia rivinvaihtoja avaimeen ymmärtämättä, kuinka editori sarjoi ne.
Käytä SPF :lle TXT -tietuetyyppiä. Käytä TXT tai CNAME muotoa DKIM lähettäjän ohjeiden mukaan, ei henkilökohtaisten mieltymysten mukaan. Valitsimen CNAME on alias toiselle verkkotunnukselle, ei julkisen avaimen tekstin säilö. Jos pyydetty CNAME törmää olemassa olevien tietojen kanssa kyseisellä nimellä, ratkaise törmäys sen sijaan, että korvaat toisen palvelun aktiivisen valitsimen.
Julkaise tarkoitettu käytäntö, älä näyte
SPF päivitys vaatii kaikkien laillisten lähettäjien ja DNS-haun riippuvuuksien tarkistamisen. Säilytä tarvittavat valtuutukset yhdessä voimassa olevassa käytännössä kyseisessä kirjekuoressa. DMARC päivitys vaatii harkitun käytäntöpäätöksen näkyvälle From-verkkotunnukselle ja sen soveltuville aliverkkotunnuksille. Palveluntarjoajan lisääminen ei ole syy lisätä uutta DMARC käytäntöä omistajalle, jos sellainen on jo olemassa.
Älä kopioi näyteraportointiosoitetta tai osoita raportteja kolmannelle osapuolelle ilman lupaa. Älä korvaa pakotettua DMARC -käytäntöä valvonnalla vain siksi, että aloituskuvakaappaus näkyy p=none. Ennen kuin muutat toimialueen laajuista suojausta, selvitä, onko uudella lähettäjällä tuettu tasattu polku.
Jos palveluntarjoaja pyytää tietueita erikseen delegoidun alivyöhykkeen alapuolelle, julkaise ne vyöhykkeellä, jolla on valtuudet kyseiseen lapsivyöhykkeeseen. Viehättävän näköinen merkintä pääeditorissa ei ohita delegointia. Selvitä DNS omistusraja ennen tallentamista.
Tarkista kahdella teknisellä tasolla
Kysy jokaiselta arvovaltaiselta palvelimelta koko aiottu omistaja ja tietuetyyppi. Säilytä vastaukset ja vertaa loogista TXT sisältöä, ei vain sitä, miltä lainaukset näyttävät työkalussa. Tarkista koko avain, valitsimen otsikko, mahdollinen aliaskohde ja tietueen rajat. Välimuistissa olevia rekursiivisia vastauksia tulee tutkia vain, kun arvovaltaiset vastaukset ovat oikein. Palveluntarjoajan laaja leviämisarvio ei korvaa väärän omistajan nimen diagnosointia.
Aktivoi tai vahvista sitten lähetyspalvelu käyttämällä sen omaa työnkulkua ja lähetä ohjattu viesti. Tallenna näkyvä Lähettäjä, kirjekuoren identiteetti, jokainen DKIM d= ja s=, sekä luotetun vastaanottimen tulokset. SPF todentaa kirjekuoren identiteetin; DKIM vahvistaa allekirjoituksen henkilöllisyyden. DMARC tarvitsee kulkevan polun, joka on kohdistettu näkyvän From-kohdan kanssa sovellettavan tilan alla.
Synteettinen vikatapaus: Gandi julkaisee oikean avaimen osoitteessa rotation1._domainkey.example.com , mutta viestissä käytetään arvoja s=rotation2 ja d=example.com. Julkaistu rotation1-tietue ei voi vahvistaa tätä allekirjoitusta. Korjauskeino on sovittaa lähettäjän valitsin vaaditun julkaisun kanssa, ei heikentää DMARC tai lisätä asiaankuulumatonta SPF sisältöä.
Palauta ja sulje muutos
Jos julkaisu katkaisee reitin, tunnista tarkka muuttunut omistaja ja palauta hyväksytty edellinen ennätysjoukko. Älä palauta koko jaettua vyöhykettä vertaamatta välissä olevia muutoksia ja vaikutusalueita. Säilytä aiemmat avaimet niin kauan kuin allekirjoitus-palvelun kiertosuunnitelma vaatii; DNS poisto ja allekirjoituksen aktivointi on koordinoitava.
Sulje työ vain, kun aktiivinen vyöhyke, aiotut DNS vastaukset, lähetysaktivointi ja havaittu viestitodennus ovat samaa mieltä. Tämä on dokumentaarinen opas, jossa on synteettinen vikatapaus. Gandi-tiliä, arvovaltaista DNS kyselyä tai toimitettua viestiä ei käytetty elävänä todisteena. Ylläpitäjän on kerättävä nämä havainnot ennen tuotannon päättymisen hyväksymistä.
Pysäytä jaetun alueen peruutus kumoamasta asiaankuulumatonta työtä
Kirjallinen tapaus GAN-01 olettaa, että example.com ja example.net jakavat vyöhykkeen. Myöhemmin hyväksytty verkkosivustotietue lisättiin varmuuskopioinnin jälkeen, kun taas example.com uusi valitsin on väärä. Koko vanhemman varmuuskopion palauttaminen poistaisi myös kyseisen verkkosivuston muutoksen linkitetystä laajuudesta. Vertaa nykyisiä tietueita, tunnista hyväksytty vain valitsin korjaus ja vahvista molemmat verkkotunnuksen omistajat ennen sen käyttöönottoa. Täällä ei ole tarkastettu tai suoritettu vyöhykettä, varmuuskopiointia tai palautusta.
Säilytä täytäntöönpanoraja
RFC 9989 Kohta 7.4 edellyttää kelvollista DKIM , ei pelkästään SPF , verkkotunnusten julkaisemiseen p=reject, ja varoittaa epäsuoran postin ja postituslistan yhteentoimivuudesta. Yksittäinen onnistunut suoraviestitesti ei ole todiste siitä, että jokainen laillinen reitti on valmis vahvempaan politiikkaan. Säilytä olemassa oleva hyväksytty suojaus diagnosoidessasi todellista aukkoa; Jokainen politiikan muutos vaatii oman päätöksensä.