Conferma che Gandi ospita la zona attiva
La registrazione di un dominio presso Gandi non stabilisce di per sé che Gandi serva il suo DNS autorevole. Controlla il delegato server dei nomi prima per il dominio. Gandi afferma che i nameserver ospitati esternamente devono essere gestiti tramite il provider esterno. Questa guida copre l'editor documentato Gandi LiveDNS, non una migrazione da un altro host DNS .
Mantieni la configurazione del servizio di posta separata dalla pubblicazione DNS . Il tuo provider di invio fornisce il suo supporto selettore, chiave o CNAME target e tutti i requisiti del dominio dell'involucro. Gandi pubblica quei documenti; creando un DKIM registrazione TXT non provoca l'avvio della firma da parte di un server di posta non correlato. Non dedurre un Gandi universale SPF includere per un dominio semplicemente perché il suo DNS è ospitato lì.
Identificare l'amministratore DNS , il proprietario del servizio di invio e la persona autorizzata ad approvare la policy del dominio. Salva i set di record esistenti per tutti i nomi interessati. Verifica se il dominio è collegato a una zona condivisa: i documenti Gandi che cambiano in una zona collegata influenzano ogni dominio collegato. Una modifica dell'autenticazione apparentemente locale può quindi avere un impatto più ampio.
Utilizzare una modifica dell'editor limitata
Il percorso documentato è Dominio, il dominio selezionato, quindi Record DNS . La modalità tabella supporta l'aggiunta o la modifica di singole voci; la modalità testo modifica l'intera zona. Per una piccola modifica all'autenticazione, i singoli record sono più facili da confrontare con la richiesta approvata. Utilizzare la modalità testo solo quando si è compreso l'editor e l'intera differenza proposta è stata rivista.
Gandi LiveDNS offre il salvataggio e il ripristino di un backup. Effettua un backup prima della modifica, ma non dare per scontato che ripristinarlo in un secondo momento sia innocuo: un ripristino completo può annullare le modifiche non correlate apportate dopo lo snapshot. Registrare un piano di ripristino mirato anche per i record interessati. Se è coinvolta una zona condivisa, includi gli altri proprietari di dominio in quel piano.
Crea un foglio di lavoro della pubblicazione con il proprietario completo previsto, l'etichetta dell'editor, il tipo e il valore. Per un dominio sintetico example.com , l'apice è example.com , its DMARC il proprietario è _dmarc.example.com e un proprietario DKIM potrebbe essere rotation1._domainkey.example.com . Queste etichette di esempio non sono impostazioni generate dal provider. Utilizza il selettore e il dominio effettivi del servizio di invio.
Conserva i confini e i nomi TXT
La documentazione TXT di Gandi utilizza @ per il dominio nudo e un'etichetta relativa per un sottodominio. I suoi esempi di zone di testo rappresentano dati TXT lunghi come più stringhe tra virgolette all'interno di un record, ciascuna non più lunga di 255 caratteri. Questo è diverso dalla creazione di più record TXT indipendenti.
Questa distinzione è importante per l'autenticazione. Una policy SPF può essere costituita da diverse stringhe di caratteri in un singolo record di risorse TXT , ma da più candidati Registri SPF presso lo stesso proprietario causano un errore SPF . Anche il materiale della chiave DKIM deve rimanere completo. Non creare numerose chiavi o policy non correlate per superare il limite del campo di testo e non inserire interruzioni di riga visive in una chiave senza comprendere come l'editor le serializza.
Utilizza il tipo di record TXT per SPF . Utilizza TXT o CNAME per DKIM secondo le istruzioni del provider mittente, non secondo le preferenze personali. Un CNAME in un selettore è un alias di un altro nome di dominio, non un contenitore per il testo di chiave pubblica. Se un CNAME richiesto entra in conflitto con i dati esistenti con quel nome, risolvi la collisione anziché sostituire il selettore attivo di un altro servizio.
Pubblicare la politica prevista, non un campione
Un aggiornamento SPF richiede una revisione di tutti i mittenti legittimi e delle dipendenze di ricerca DNS. Conserva le autorizzazioni necessarie in un'unica policy valida nel dominio della busta pertinente. Un aggiornamento DMARC richiede una decisione politica deliberata per il dominio Da visibile e i relativi sottodomini applicabili. L'aggiunta di un provider non è un motivo per aggiungere un'altra policy DMARC presso un proprietario dove ne esiste già una.
Non copiare un esempio di indirizzo di reporting o di report puntuali a terzi senza approvazione. Non sostituire una policy DMARC applicata con il monitoraggio solo perché viene visualizzato uno screenshot di onboarding p=none. Determina se il nuovo mittente ha un percorso allineato supportato prima di modificare la protezione a livello di dominio.
Se un fornitore richiede record al di sotto di una zona figlio delegata separatamente, pubblicali nella zona che ha effettivamente l'autorità per quel bambino. Una voce dall'aspetto attraente nell'editor principale non sovrascrive una delega. Risolvi il limite di proprietà DNS prima di salvare.
Verifica a due livelli tecnici
Interrogare ciascun server autorevole per il proprietario completo previsto e il tipo di record. Conserva le risposte e confronta il contenuto logico TXT , non solo l'aspetto delle virgolette in uno strumento. Controlla l'intera chiave, l'etichetta del selettore, qualsiasi destinazione alias e i limiti del set di record. Solo una volta che le risposte autorevoli sono corrette dovresti esaminare le risposte ricorsive memorizzate nella cache. La stima di propagazione ampia di un provider non sostituisce la diagnosi di un nome di proprietario errato.
Quindi attiva o convalida il servizio di invio utilizzando il proprio flusso di lavoro e invia un messaggio controllato. Registra il Da visibile, l'identità della busta, ogni DKIM d= e s=, e i risultati del destinatario attendibile. SPF autentica l'identità della busta; DKIM verifica un'identità di firma. DMARC necessita di un percorso di passaggio allineato con il visibile Da sotto la modalità applicabile.
Caso di errore sintetico: Gandi pubblica la chiave corretta su rotation1._domainkey.example.com , ma il messaggio utilizza s=rotation2 e d=example.com. Il record di rotazione1 pubblicato non può convalidare quella firma. Il rimedio è riconciliare il selettore del mittente con la pubblicazione richiesta, non indebolire DMARC o aggiungere un SPF non correlato.
Recupera e chiudi la modifica
Se la pubblicazione interrompe un percorso, identificare l'esatto proprietario modificato e ripristinare il set di record precedente approvato. Non ripristinare un'intera zona condivisa senza confrontare le modifiche intervenute e i domini interessati. Conservare le chiavi precedenti per tutto il tempo richiesto dal piano di rotazione del servizio di firma; La cancellazione DNS e l'attivazione della firma devono essere coordinate.
Chiudere il lavoro solo quando la zona attiva, le risposte DNS previste, l'attivazione dell'invio e l'autenticazione del messaggio osservato concordano. Questa è una guida documentaria con un caso di fallimento sintetico. Nessun account Gandi, query DNS autorevole o messaggio consegnato è stato utilizzato come prova in tempo reale. L'amministratore deve raccogliere tali osservazioni prima di approvare il completamento della produzione.
Impedisci a un rollback della zona condivisa di annullare il lavoro non correlato
Il caso scritto GAN-01 presuppone che example.com ed example.net condividano una zona. Un record del sito web approvato successivamente è stato aggiunto dopo un backup, mentre il nuovo selettore su example.com è sbagliato. Il ripristino dell'intero backup precedente rimuoverebbe anche la modifica del sito Web nell'ambito collegato. Confronta i record attuali, identifica la riparazione approvata solo dal selettore e conferma entrambi i proprietari del dominio prima di applicarla. Nessuna zona, backup o ripristino è stato ispezionato o eseguito qui.
Preservare il confine dell'applicazione
RFC 9989 La sezione 7.4 richiede DKIM valido, non solo SPF , per la pubblicazione dei domini p=rejecte mette in guardia sull'interoperabilità della posta indiretta e delle mailing list. Un singolo test di messaggio diretto riuscito non è la prova che ogni percorso legittimo sia pronto per una politica più forte. Mantenere la protezione approvata esistente diagnosticando al tempo stesso il divario effettivo; qualsiasi cambiamento di politica necessita di una propria decisione.