Les domaines parqués, défensifs et acquis appartiennent à un seul programme de propriété, mais ils ne doivent pas hériter d'un modèle DNS non testé. Déterminez d’abord qui contrôle chaque domaine et s’il envoie ou reçoit du courrier légitime. Une étiquette d'acquisition vous indique comment le domaine est arrivé, et non s'il est sécuritaire de désactiver ses services de messagerie.
Enregistrer le but avant de choisir les enregistrements
Documentez le registraire et le propriétaire du compte DNS , le sponsor commercial, la responsabilité de renouvellement, l'objectif d'envoi, l'objectif de réception et les sous-domaines connus. Gardez les secrets de compte hors du registre. Pour un domaine acquis, incluez l’ancien administrateur et les dépendances d’application non résolues. Un enregistrement défensif peut toujours recevoir de la correspondance juridique ou de récupération, donc confirmez la réception de l'utilisation indépendamment de l'envoi de l'utilisation.
Utilisez au moins trois états pour chaque question : oui, non après examen et inconnu. Un champ vide ne doit pas devenir non. Incluez les tâches planifiées, les formulaires de sites Web, les notifications des fournisseurs, les systèmes de reprise après sinistre inactifs et les campagnes saisonnières dans l'examen des flux cachés. Il s'agit d'une liste de contrôle opérationnelle recommandée et non d'un test effectué par un enregistrement DNS .
Choisissez les commandes pour la bonne direction
Null MX est un single Enregistrement MX avec une préférence zéro et un échange d'étiquettes racine, généralement affiché par 0. ; il ne déclare aucune acceptation de courrier pour ce domaine et ne doit pas coexister avec d'autres enregistrements MX . Cela ne veut pas dire que le domaine n'envoie aucun courrier. RFC 7505 , sections 3 et 4. Ne remplacez pas les enregistrements MX entrants fonctionnels, car le trafic sortant semble absent. La section 4.2 RFC 7505 indique également que les systèmes NE DEVRAIENT PAS publier Null MX pour les domaines utilisés dans COURRIER DE ou visibles des adresses De, car le courrier risque d’être rejeté. Un domaine de campagne qui envoie mais ne reçoit pas ne doit donc pas se voir attribuer automatiquement Null MX .
Pour un confirmé domaine non-expéditeur, l'exact Enregistrement SPF v=spf1 -all, with no positive mechanisms, expresses that no sending hosts are authorised for the evaluated SPF identité. Un record avec des mécanismes positifs antérieurs, il peut autoriser les hôtes correspondants même s'il se termine par -all . DMARC exprime séparément la politique d'utilisation du domaine visible From lorsque l'authentification alignée échoue. Ni l'un ni l'autre n'empêche l'usurpation d'identité du nom d'affichage ou domaines similaires. RFC 7208 , section 5.1 et RFC 9989. Examinez le comportement de découverte des sous-domaines et des stratégies plutôt que de supposer que chaque nom d'enfant a la même configuration.
Décidez séparément pour quatre objectifs de domaine
Considérez quatre résultats hypothétiques de l’examen. La paie envoie et reçoit, les deux directions approuvées doivent donc rester disponibles. Un domaine de campagne envoie mais n'a confirmé aucune utilisation de réception, donc l'authentification sortante et toute décision de non-réception sont indépendantes. Il est confirmé qu’un enregistrement défensif ne fait ni l’un ni l’autre après un examen des flux cachés, ce qui en fait un candidat à des contrôles restrictifs. Un domaine hérité a un objectif inconnu, sa configuration reste donc en attente d'une enquête.
Il s'agit d'entrées supposées, et non de code exécuté, d'entretiens avec le propriétaire ou d'observations DNS . Pour le domaine hérité, une fenêtre de rapport silencieuse ne peut pas transformer l'inconnu en non. Demandez à l'ancien propriétaire de l'application et à l'opérateur actuel du bureau d'enregistrement de résoudre les dépendances de service avant d'approuver une modification. Vérifiez les noms des enfants séparément ; l'enregistrement d'un parent ne constitue pas une preuve que chaque sous-domaine a la même utilisation.
Gardez le portefeuille maintenable
Appliquez les modifications via un processus d’approbation et de vérification enregistré. Conservez les anciens RRsets, testez les services concernés et confirmez l’état faisant autorité après une mutation approuvée. Enregistrez l'étape du cycle de vie du domaine, la date de révision et la prochaine action du propriétaire. Ne laissez pas une exception d’acquisition devenir une inconnue permanente.
Revérifiez l'objectif lorsqu'un domaine parqué devient un site de campagne, lors d'un changement de propriétaire ou avant son retrait. Conservez les inscriptions et les renouvellements sous une propriété responsable même lorsque le courrier est désactivé. La faible activité d'un domaine ne lui enlève pas sa valeur en tant qu'identité commerciale.