A CNAME menjadikan satu nama DNS sebagai alias yang lain. Ini sering digunakan untuk pengaturan email yang dikelola penyedia, namun tidak mentransfer seluruh subdomain seperti yang dilakukan delegasi NS. Sebelum membuat alias, kenali apa yang sudah menempati nama persisnya dan siapa yang mengontrol target.
Jaga agar pemilik alias tetap eksklusif
Referensi: RFC 2181 §10.1, RFC 1034 §4.2.1.
Pada pemilik CNAME , TXT , MX , A dan data biasa lainnya tidak dapat hidup berdampingan dengan alias. DNSSEC metadata adalah kasus khusus; itu tidak membuat konfigurasi TXT-plus-CNAME valid. Ada satu target kanonik untuk sebuah alias. Puncak zona sudah memerlukan catatan SOA dan NS, sehingga puncak konvensional CNAME bertentangan dengan struktur zona.
Fitur penyedia yang disebut perataan atau ALIAS dapat mensintesis jawaban alamat biasa alih-alih menerbitkan CNAME . Perilaku mereka spesifik untuk implementasi. Jangan berasumsi bahwa fitur tersebut dapat mensintesis data TXT autentikasi sewenang-wenang atau bertindak sebagai delegasi berbasis standar. Periksa jawaban untuk jenis rekaman aktual yang diperlukan oleh protokol konsumsi.
Ikuti ketergantungan sampai akhir
Referensi: RFC 1034 §3.6.2, RFC 6376 §3.6.2.1.
Untuk didukung penyedia DKIM alias, pencarian TXT di a pemilih dapat mengikuti alias ke kunci penyedia. Pertahankan pemilik alias, setiap target, dan hasil terminal TXT . CNAME yang menunjuk ke CNAME lain menambah ketergantungan lain; loop atau target yang tidak ada mencegah jawaban terminal yang berguna.
Pengaturan ini memberikan pengaruh kepada operator target atas data yang diselesaikan melalui alias. Itu bukan izin untuk mengedit sisa zona Anda, namun ini adalah konsekuensi untuk layanan yang dikonfigurasi. Verifikasi target yang dihasilkan dalam alur penyiapan penyedia yang diautentikasi, catat kepemilikan layanan, dan hapus dependensi usang melalui penghentian yang direncanakan.
Latihan pencarian pemilih sintetis
Perlengkapan A diterbitkan s1._domainkey.example.com . 300 DI CNAME s1.keys.example.net . dan nilai TXT terminal di s1.keys.example.net.. Untuk tes ini hanya menggunakan DNS "perlengkapan=data-terminal", yang sengaja bukan merupakan kunci DKIM yang valid. Resolusi TXT yang diharapkan mengikuti alias dan mengembalikan penanda tersebut. Ini membuktikan ketergantungan pencarian saja, bukan otentikasi kriptografi.
Perlengkapan B menambahkan a catatan TXT pada s1._domainkey.example.com. sambil mempertahankan CNAME -nya. Validasi konfigurasi yang diharapkan adalah konflik hidup berdampingan; jangan mempublikasikannya untuk menguji toleransi penerima. Fixture C mengubah target menjadi nama yang tidak dikonfigurasi. Hasil yang diharapkan adalah tidak ada data terminal yang dapat digunakan, dengan respons yang tepat bergantung pada apakah nama tersebut ada tanpa TXT atau tidak ada sama sekali.
Dalam lingkungan pengujian yang terisolasi, kueri pemilik untuk CNAME dan TXT dan kueri target untuk TXT . Catat kode respons, otoritas, dan rantai alias. Untuk pengujian DKIM yang sebenarnya, ganti penanda dengan konfigurasi nyata yang dihasilkan penyedia dan verifikasi pesan yang ditandatangani secara terpisah.
Hindari alias dalam target perutean
Referensi: RFC 2181 §10.3, RFC 5321 §5.1, RFC 8767 §4.
Target MX dan target NS harus memberi nama host dengan catatan alamat, bukan alias. Domain yang dicari emailnya sendiri dapat melibatkan CNAME berdasarkan aturan resolusi SMTP , namun hal tersebut tidak mengizinkan CNAME sebagai nama host pertukaran yang disimpan dalam data MX . Jaga agar kedua posisi tersebut tetap berbeda saat membaca jejak.
Sebelum menghentikan layanan eksternal, periksa apakah layanan aktif lainnya masih menggunakan pemilih atau target. Menghapus alias tetap tidak terlihat oleh pembaca yang di-cache untuk sementara waktu, dan memulihkannya bukanlah pengembalian instan. Tutup perubahan setelah memverifikasi DNS dan perilaku layanan yang diinginkan.
Usahakan ruang lingkup bukti tetap eksplisit
Penanda perlengkapan terminal hanya menunjukkan ketergantungan DNS yang direncanakan, bukan kunci DKIM yang dapat digunakan. Jangan mempublikasikan pemilik yang sengaja berkonflik untuk menguji toleransi. Tidak ada penerapan CNAME , resolusi, atau verifikasi kriptografi yang dilakukan dalam tinjauan ini.