Faire en sorte que la sauvegarde réponde à une question de récupération
Avant de modifier un enregistrement d'authentification, conservez suffisamment d'informations pour expliquer ce qui a été publié, ce que le fournisseur a stocké et comment la modification prévue pourrait être annulée. Un fichier de zone téléchargé est utile, mais son existence ne prouve pas qu'une restauration recréera le service. Traitez la sauvegarde comme un paquet de récupération avec un propriétaire, une durée de capture et des limites explicites.
Ce guide utilise la documentation publique d'importation et d'exportation DNS de Cloudflare révisée le 8 novembre 2026 comme exemple concret de fournisseur. Le workflow est un contrôle proposé, et non un rapport d'exportation ou de restauration effectuée ici. Les interfaces des fournisseurs et les fonctionnalités du compte doivent être vérifiées avant une utilisation opérationnelle. Aucune information d'identification, clé de signature privée ou donnée de zone de production n'est requise pour comprendre la méthode.
Identifier la zone et la limite de changement
Notez la zone exacte, le compte et le fournisseur faisant autorité avant de collecter les fichiers. L'enregistrement et l'hébergement faisant autorité peuvent appartenir à différentes organisations. Une zone enfant peut également avoir son propre propriétaire. Une exportation depuis un parent n'établit pas le contenu d'un enfant délégué. La hiérarchie DNS rend cette distinction importante lorsque le nom concerné se trouve en dessous d'une délégation. RFC 1034
Répertoriez les noms et les types concernés : un SPF Propriétaire TXT , un Sélecteur DKIM propriétaire, un DMARC propriétaire de police ou fournisseur CNAME cible. Conservez l’intégralité du jeu d’enregistrements pertinent plutôt que de copier uniquement la chaîne qui semble importante. Enregistrez toutes les données TXT non liées chez le même propriétaire afin qu'une réparation future ne supprime pas accidentellement les enregistrements de vérification du service. Gardez la monnaie demandée séparée de l'inventaire environnant.
Capturez séparément les données des fournisseurs et les observations publiques
Cloudflare documente une exportation à partir de la page Enregistrements DNS via Importer et Exporter, puis Exporter. Son alternative API est une opération GET acceptant l’autorisation de lecture DNS . Cela documente un itinéraire pour un opérateur autorisé, et non l'autorisation de créer un jeton ou d'accéder à un compte. Préférez un chemin de lecture déjà approuvé et stockez le résultat dans l’emplacement de preuve restreint de l’équipe. Importation et exportation Cloudflare
Conservez les octets téléchargés inchangés. Remettez une copie de travail au réviseur et conservez l'original avec une somme de contrôle, l'heure de capture UTC, l'identité de la zone et l'opérateur. Une somme de contrôle détecte les modifications d'octets ultérieures ; il n'établit pas que l'original était complet, correct ou collecté sur le bon compte. Enregistrez si l'exportation a précédé le gel des modifications et si n'importe qui peut encore modifier la zone pendant la collecte.
Créez un deuxième inventaire des vérifications publiques proposées : propriétaire exact, type, serveur faisant autorité, résolveur récursif, horodatage, état de la réponse, données renvoyées et durée de vie. Ces vérifications montreraient ce que ces serveurs répondaient à ces moments-là. Ils ne remplacent pas l'exportation du fournisseur, et l'exportation ne les remplace pas. Aucun résultat de recherche n’est fourni ici. Les transcriptions originales faisant autorité et récursives restent des preuves requises.
Préserver les parties qu'un fichier portable ne peut pas restaurer
L'exportation documentée de Cloudflare comprend des commentaires, des balises et des balises spéciales pour le comportement d'enregistrement sélectionné. En particulier, ses balises d'état proxy influencent le comportement d'importation, et les balises absentes peuvent rendre le comportement dépendant de l'option d'importation générale. Conservez ces attributs et vérifiez leur signification avant de déplacer un fichier vers un autre service. Un autre fournisseur n'a pas besoin d'interpréter les commentaires spécifiques à Cloudflare comme une configuration. Attributs d'enregistrement Cloudflare
Conserver une feuille de dépendance séparée pour la délégation du bureau d'enregistrement, DNSSEC administration, fonctionnalités de routage du trafic, propriété du compte et configuration de l'expéditeur. Marquez chaque élément capturé, sauvegardé séparément ou hors de portée. N'étiquetez pas un fichier de zone comme une sauvegarde complète du compte. Un DNS Enregistrement TXT contenant un DKIM la clé publique n'est pas la clé privée utilisée par l'expéditeur. La conservation des clés privées appartient à un système approuvé distinct, jamais à un ticket de sauvegarde de zone ordinaire. RFC 6376
Concevez un renversement étroit avant de changer quoi que ce soit
Prenons ce cas de révision fictif : une équipe envisage de remplacer un enregistrement SPF TXT sur example.com tandis qu'une équipe de site Web modifie un enregistrement d'adresse sans rapport. La proposition de récupération doit identifier la valeur SPF précédente et tous les enregistrements actuels chez ce propriétaire. La restauration d'un ancien instantané de zone entière pourrait effacer la modification légitime de l'équipe du site Web. La proposition de récupération par défaut devrait donc être une inversion d'enregistrement exact révisée, avec une restauration de la zone entière réservée à un plan d'incident justifié séparément.
Précisez la condition qui déclencherait l'inversion, la personne autorisée à décider, l'opérateur et les étapes de vérification. Vérifiez si la valeur précédente est toujours sûre : un fournisseur retiré ou une clé compromise ne doit pas être réactivé simplement parce qu'il est apparu dans l'instantané d'hier. Une modification de fichier réversible ne constitue pas automatiquement une restauration opérationnelle sûre. Comparez à nouveau la portée prévue en direct avant toute écriture approuvée ultérieure.
Une répétition de restauration doit utiliser une destination isolée et autorisée et vérifier l'analyse, les jeux d'enregistrements et les attributs du fournisseur. La lecture du fichier n’est pas une répétition, et son importation en production n’est pas un test anodin. Cloudflare documente une limite d'importation de 256 Ko, donc même une exportation valide nécessite une vérification de restauration spécifique à la destination. Aucune répétition ou importation n’a été effectuée pour cet article. Limites d'importation Cloudflare
Fermez le paquet de preuves sans exagérer le succès
La liste de contrôle de publication doit nommer le fichier source inchangé, sa somme de contrôle, la différence d'enregistrement exact, les dépendances omises et l'inversion proposée. Il doit également indiquer qui a examiné le matériel et quelles preuves manquent encore. Restreindre l'accès même lorsque de nombreuses valeurs DNS sont publiques : un inventaire consolidé et les commentaires du fournisseur peuvent exposer des détails opérationnels qui ne sont pas évidents lors d'une seule recherche publique.
Après une modification ou une inversion autorisée de manière indépendante, comparez les observations faisant autorité et récursives avec l’intention approuvée. Les caches peuvent conserver les réponses antérieures, de sorte qu'une valeur restaurée du panneau de contrôle ne règle pas instantanément l'opinion de chaque récepteur. Conservez ensemble les valeurs précédentes et de remplacement, les temps d’observation et l’incertitude liée au cache. RFC 2308
Le résultat utile est un paquet de récupération qu’un autre opérateur peut évaluer sans deviner. Il ne s'agit pas d'une promesse qu'un fichier téléchargé rétablira la livraison du courrier. Le comportement de l'expéditeur et les preuves des messages reçus nécessitent toujours leur propre vérification, et la porte d'exécution d'origine reste ouverte jusqu'à ce que les vérifications applicables soient réellement effectuées.