Perubahan DNS yang disimpan dan pesan yang gagal, keduanya bisa jadi nyata. Catatan tersebut mungkin telah mencapai DNS otoritatif sementara penyelesainya masih memiliki jawaban yang lebih lama. Atau perubahannya mungkin terlihat di mana saja namun tidak terkait dengan identitas yang digunakan aplikasi pengirim.
Mulailah dengan mengidentifikasi secara pasti apa yang berubah dan apa yang Anda harapkan dari perubahan tersebut. Pengeditan kebijakan, an SPF otorisasi dan a DKIM kunci publik memecahkan masalah yang berbeda. Memperlakukannya sebagai hal yang dapat dipertukarkan akan menyebabkan perubahan berulang tanpa penjelasan sebab akibat.
Tuliskan efek yang diharapkan
Simpan nilai sebelumnya, nilai baru, nama pemilik sebenarnya, jenis catatan, stempel waktu, dan operator yang bertanggung jawab. Nyatakan hipotesis yang dapat diuji: misalnya, kunci DKIM baru harus memungkinkan penerima memverifikasi tanda tangan dengan domain d dan s tertentu pemilih. Jika layanan tidak menandatangani dengan nilai-nilai tersebut, publikasi DNS saja tidak dapat memberikan hasil tersebut.
Berubah p=reject ke p=none mengubah konteks penanganan yang diminta; hal ini tidak mengubah identitas yang tidak selaras menjadi identitas yang selaras. Di bawah RFC 7208 §2.4 Dan RFC 7208 §4.4, menerbitkan penyertaan SPF di example.com tidak memperbaiki SPF untuk domain amplop yang tidak terkait yang digunakan oleh vendor. Itu panduan penyelarasan menjelaskan bagaimana membandingkan identitas ini.
Tentukan apakah DNS yang dimaksud benar-benar berfungsi
Tanyakan pada yang berwenang server nama untuk nama dan jenis persisnya, mempertahankan respons lengkap. Bandingkan catatan yang diharapkan dengan setiap jawaban otoritatif yang relevan. Jika layanan otoritatif masih mengembalikan nilai lama, selidiki editor, pemilihan zona, delegasi, dan penerapan sisi penyedia sebelum menunggu cache rekursif.
Ketika jawaban otoritatif menyetujui nilai baru, tanyakan penyelesai yang digunakan oleh lingkungan pengujian Anda dan penyelesai rekursif lain yang relevan. Rekam status dan TTL serta konten. Ketidakhadiran yang disimpan dalam cache berbeda dengan nilai lama yang disimpan dalam cache: cache negatif dapat mempertahankan respons NXDOMAIN atau NODATA sebelumnya selama sisa masa pakainya. RFC 2308 §3, RFC 2308 §4 Dan RFC 2308 §5.
Penurunan sebuah rekorTTL sekarang tidak secara retrospektif memperpendek salinan yang sudah di-cache dalam masa pakai sebelumnya. Hindari janji universal bahwa semua perubahan DNS akan terlihat dalam jumlah menit yang tetap. Perilaku layanan basi yang memenuhi syarat juga dapat mempertahankan dan menggunakan data lama setelah masa berlaku TTL habis RFC 8767 §4. Gunakan jawaban yang diamati dan bukti cache untuk memutuskan kapan pengujian ulang bermanfaat.
Uji pesan baru, bukan header kemarin
Hasil otentikasi dicatat untuk pengiriman tertentu. Konfigurasi DNS baru tidak menulis ulang pesan yang sudah diterima. Hasilkan pesan baru yang terkontrol melalui aplikasi yang terpengaruh dan pertahankan stempel waktunya dan hasil yang dihasilkan penerima. RFC 8601 §1.2 Dan RFC 8601 §4.
Bandingkan domain Dari yang terlihat, identitas dan hasil yang dievaluasi SPF, serta setiap domain penandatanganan DKIM , pemilih, dan hasil verifikasi yang relevan. Kemudian periksa penyelarasan di bawah yang berlaku DMARC kebijakan. Jangan berhenti di dasbor vendor yang mengatakan otentikasi diaktifkan; menentukan apa yang dibawa oleh pesan sebenarnya.
Jika pemilih penandatanganan berbeda dari yang Anda publikasikan, selidiki aktivasi atau konfigurasi layanan. Jika tanda tangan memverifikasi domain yang tidak terkait, selidiki pengaturan identitas selaras pelanggan yang didukungnya. Jika tanda tangan gagal hanya setelah gateway, bandingkan rute sebelum dan sesudah perantara tersebut. Perubahan konten yang tercakup dapat memengaruhi verifikasi di bawah RFC 6376 §3.7, tetapi kegagalan saja tidak mengidentifikasi penyebab atau membuktikan hop mana yang mengubah pesan. Ini adalah diagnosis yang berbeda dan harus mengarah pada perubahan yang berbeda.
Gunakan catatan keputusan yang ringkas
Contoh sintetik ini menunjukkan mengapa lapisan itu penting:
- Pengamatan: Kunci DKIM resmi masih baru; pencarian rekursif sudah lama; Apa yang didukungnya: Pengamatan DNS berbeda; Investigasi berikutnya: Masa pakai cache dan jalur penyelesaian
- Pengamatan: Kedua tampilan DNS tersebut baru; pesan menggunakan pemilih yang berbeda; Apa yang didukungnya: Kunci yang dipublikasikan tidak cocok dengan tanda tangan ini; Investigasi berikutnya: Konfigurasi penandatanganan aktif pengirim
- Pengamatan: Mencocokkan tanda tangan; d domain tidak terkait dengan Dari; Apa yang didukungnya: Tanda tangan berfungsi tetapi tidak menyediakan penyelarasan; Investigasi berikutnya: Mendukung identitas pengiriman yang selaras
- Pengamatan: Pesan langsung baru dikirimkan; salinan yang diteruskan gagal; Apa yang didukungnya: Rute ini memengaruhi autentikasi yang masih ada; Investigasi selanjutnya: Penerusan dan modifikasi pesan
Tidak satu pun dari pengamatan ini yang membuktikan adanya serangan atau pemadaman listrik di seluruh penerima. Jaga agar kesimpulan tetap proporsional dengan bukti.
Hindari mengubah kebijakan untuk menyembunyikan gejalanya
Masalah pengiriman yang penting bagi bisnis mungkin memerlukan mitigasi sementara yang terdokumentasi. Pilih cakupan, pemilik, masa berlaku, dan kriteria verifikasinya secara terpisah dari perbaikan teknis. Pengurangan kebijakan di seluruh organisasi dapat memengaruhi lalu lintas yang tidak terkait dan tidak boleh menjadi respons refleks terhadap kegagalan aplikasi tunggal yang tidak terverifikasi.
Pertahankan rencana rollback untuk perubahan yang sebenarnya. Memulihkan nilai DNS sendiri mungkin memerlukan waktu agar dapat terlihat melalui cache, dan memulihkan kunci lama tidak tepat jika kunci tersebut dicurigai telah disusupi. Identifikasi kendala tersebut sebelum memperlakukan rollback sebagai pemulihan instan.
Tutup dengan penjelasan kausal
Catat lapisan mana yang salah, apa yang berubah dan bukti baru mana yang menegaskan koreksi tersebut. Simpan perbandingan pesan sebelum dan sesudah diterima serta pengamatan DNS yang relevan. Menggunakan laporan agregat untuk mencari pola yang sama pada lalu lintas yang dilaporkan berikutnya tanpa memperlakukannya sebagai log pengiriman real-time atau lengkap; RFC 9990 §3.1 menjelaskan pelaporan agregat.
Masalah ini teratasi ketika alur kerja yang dimaksudkan memiliki hasil yang selaras dan tepercaya dan masalah pengiriman apa pun dijelaskan. Penempatan kotak masuk tetap menjadi keputusan tersendiri bagi penerima. Pembaruan DNS yang berhasil merupakan sebuah pencapaian, bukan akhir dari penyelidikan tersebut.
Buatlah keputusan berikutnya secara eksplisit
Gunakan perlengkapan pemilih yang diubah untuk memutuskan apakah akan memperbaiki konfigurasi penandatanganan aktif daripada memublikasikan ulang kunci sama yang tidak digunakan. Sebelum menutup, catat satu pengujian baru melalui alur kerja yang terpengaruh, hasil penerima tepercaya, nilai d/s yang tepat, dan batas cakupan yang tersisa. Jika bukti tersebut tidak tersedia, biarkan klaim terkait tetap tertunda. Tidak ada publikasi DNS , aktivasi kunci, atau uji pengiriman yang dilakukan di sini.