[ DNS et domaines ]
Enregistrements DNS NS et délégation de sous-domaine
Planifiez la limite de zone correcte, préparez l'autorité enfant et vérifiez la chaîne de référence avant de déléguer DNS d'authentification par courrier électronique.
Par l’équipe de recherche EmailAuth · 8 minutes de lecture
[ Points clés ]
- Une délégation NS transfère l'autorité pour une zone enfant, pas seulement une valeur TXT .
- Préparez chaque dossier d’enfant requis avant de modifier la référence du parent.
- Vérifiez la chaîne de délégation, chaque serveur et les messages de l'expéditeur concerné.
Sur cette page
[ Emporter ]
Déléguez uniquement l'espace de noms prévu, conservez tous les enregistrements dépendants et exigez à la fois DNS faisant autorité et des preuves de messages reçus.
[ Par rôle ]
Qu'est-ce que cela signifie pour vous
Choisissez votre rôle pour les prochaines étapes pratiques.
Administrateur informatique/courrier
Mappez chaque sélecteur sous la coupe
Une délégation peut affecter plusieurs expéditeurs.
Prochaines étapes
- Inventoriez tous les enregistrements situés en dessous de la limite enfant proposée.
- Vérifiez chaque serveur enfant et la référence parent.
- Testez à nouveau chaque workflow de signature concerné.
RSSI / SecOps
Examiner l’autorité déléguée
Un opérateur enfant contrôle une partie définie de l’espace de noms d’authentification.
Prochaines étapes
- Approuvez la portée prise en charge la plus étroite.
- Coordonnez DS et les modifications de signature avec le propriétaire DNSSEC .
- Conservez l’autorité de récupération et la propriété d’accès.
Fondateur / Non technique
Protéger toutes les dépendances d'envoi
Un test de newsletter fonctionnel peut masquer un sélecteur de facturation défectueux.
Prochaines étapes
- Identifiez les expéditeurs critiques pour l’entreprise sous la branche déléguée.
- Approuvez le propriétaire du changement et le plan de récupération.
- Exigez l’acceptation de la livraison dans ces flux de travail.
[ FAQ ]
Questions fréquemment posées
Un enregistrement NS contient-il une adresse IP ?
Non. NS RDATA identifie le nom d'hôte d'un serveur de noms. Les enregistrements d'adresse et toute colle requise sont des éléments distincts pour atteindre ce serveur.
Où est publiée une délégation de sous-domaine ?
La zone parent publie l'ensemble NS enfant. L'enfant dispose également de données apex NS ; l'édition uniquement de l'enfant n'établit pas de référence publique de la part du parent.
La délégation _domainkey revient-elle à déléguer un sélecteur ?
Non. Le sous-arbre _domainkey peut contenir des sélecteurs pour plusieurs expéditeurs. Inventoriez l’intégralité de l’espace de noms transféré et utilisez uniquement la portée réellement prévue.
Puis-je remplacer un CNAME demandé par des enregistrements NS ?
Pas comme une substitution équivalente. Un alias et une délégation de zone enfant ont des significations DNS et des exigences opérationnelles différentes. Utilisez la méthode prise en charge par le service.
Quand peut-on avoir besoin de colle ?
Les noms de serveurs de noms dans le domaine peuvent créer une dépendance sur la zone déléguée pour trouver ses propres serveurs. Des informations d’adresse appropriées côté parent rompent cette dépendance. Confirmez la topologie réelle.
Pourquoi les anciens enregistrements de sélecteur dans le parent ne sont-ils plus utiles ?
Une fois que la résolution suit la délégation de l'enfant, les données ordinaires en dessous de cette coupure doivent être servies par l'enfant. Un enregistrement restant dans l’ancien panneau ne constitue pas une preuve de la réponse efficace.
Dois-je supprimer un enregistrement DS en cas d'échec d'une délégation ?
Ne le supprimez pas comme solution de contournement inexpliquée. Demandez au propriétaire DNSSEC de vérifier la configuration de signature du DS parent et de l'enfant et d'approuver toute transition de chaîne de confiance.
Une recherche TXT réussie prouve-t-elle les réussites DKIM ?
Non. Le signataire doit utiliser la clé correspondante et le message reçu doit être vérifié. Testez le sélecteur réellement utilisé par chaque expéditeur concerné.
[ Sources ]
Sources
- RFC9499
Sections §6. Serveurs et clients DNS · §7. Zones
- RFC4035
Sections §2.4 Inclure des RR DS dans une Zone · §5. Authentification des réponses DNS
- RFC1034
Sections §4.2.1 Considérations techniques · §4.2.2 Considérations administratives · §4.3.2 Algorithme
- RFC2308
Sections §2. Réponses négatives · §5. Caching Negative Answers
- RFC1035
Sections §3.3.11 Format NS RDATA · §3.3.13 Format SOA RDATA · §4.1 Format des messages
- RFC6376
Sections §3.5 Champ d'en-tête DKIM-Signature · §3.6 Gestion et représentation des clés · §6. Actions du vérificateur
[ Glossaire ]
Glossaire
- Coupe de zone
- La limite entre l'autorité détenue par une zone parent et une zone enfant déléguée.
- Colle
- Enregistrements d'adresses fournis pour aider à atteindre les serveurs de noms lorsque la résolution dépendrait autrement de la zone déléguée.
- Sommet de l'enfant
- Nom principal de la zone enfant déléguée, où résident ses propres données SOA et NS.
- Référence
- Une réponse DNS dirigeant la résolution vers un autre ensemble de serveurs faisant autorité.
Provenance de l'entreprise
Pourquoi les principales institutions financières et gouvernements ont retiré leurs tableaux de bord de sécurité de messagerie.
Les plateformes traditionnelles d'authentification de courrier électronique vous vendent un tableau de bord et demandent à vos ingénieurs de faire le travail. Dans les environnements à enjeux élevés, la surveillance manuelle entraîne des retards dans l’application, des dérives de configuration et des domaines fantômes non surveillés.
EmailAuth est la plateforme agent de provenance des e-mails. Nos agents appliquent p=reject, gardez les expéditeurs tiers alignés et déplacez vos domaines au maximum RFC 9989 conformité, la nouvelle norme DMARC , avec une auditabilité humaine dans la boucle.
SaaS · Location dédiée · Air-gappé sur site · Chiffrement BYOK