さまざまな権威サーバーは、サービスを提供するゾーンの一貫したビューを提供する必要があります。認証チェックが一致しない場合は、同じ所有者、タイプ、およびクラスについて、公開されている各機関を照会します。応答を正規化する前に、未編集の応答を保持します。値の簡潔なリストにより、参照、エラー、および欠落している権限フラグを隠すことができます。
どのサーバーが重要かを確認する
参考文献: RFC 1034 §4.2, RFC 1035 §4.1.1.
親委任を読み取り、子頂点 NS セットと比較します。アドバタイズされたサーバー名をアドレスに解決し、どのアドレスが照会されたかを記録します。ホスト名には複数のアドレスを含めることができ、エニーキャストは同じアドレスを異なるインスタンスにルーティングできます。したがって、クエリが 1 回成功しただけでは、考えられるすべてのバックエンドが最新であることが証明されるわけではありません。
次のような直接的な非再帰クエリを使用します。 @SERVER_IP _dmarc.example .test を掘ります。 TXT +norecurse。応答コードと AA フラグ、応答セクションと権限セクション、およびエイリアスを検査します。信頼できると期待していたサーバーからの紹介または権限のない応答は、コンテンツが古い信頼できる応答とは異なります。
構造を破壊せずにデータを比較
参考文献: RFC 2181 §5, RFC 1035 §3.3.14, RFC 1982 §3.2.
DNSレコードセットの順序付けはポリシーの優先順位ではありません。比較のために独立したレコード オブジェクトを並べ替えますが、各レコード内の文字列の順序は保持します。 TXTレコード。 TTL は、構成またはクエリのコンテキストによって異なる場合があります。黙って破棄するのではなく、記録してください。再帰的な TTL カウントダウンは、当局のゾーン構成であるかのように比較すべきではありません。
サポートコンテキストとして SOA をクエリします。 SOA シリアルはゾーンのハッシュではありません。シリアルの一致はレコードの一致を証明できません。また、シリアル演算がラップされるため、出力されたより大きな整数が常に新しいとは限りません。 RFC 1982では、シリアル スペースのちょうど半分の間隔での比較は未定義です。新しい/古い順序を強制しないでください。要求されたデータを直接比較し、プロバイダーの転送ログまたは公開ログを使用して相違点を説明します。
不一致と無害な並べ替えを再現する
example.test の 2 つの独立した権限を作成します。どちらも同じMXセットを公開しますが、そのレコードを異なる順序で返します。期待される正規化された比較は等しいです。次に権限Aを与えます _dmarc.example.test TXT "v=DMARC1; p=none" そしてB _dmarc.example.test TXT "v=DMARC1; p=reject"。両方の SOA シリアルが意図的に同じである場合でも、予期される比較は等しくありません。
同じタイプとオプションを使用して両方の権限を照会します。サーバーアドレス、タイムスタンプ、応答コード、フラグ、完全なレコード、シリアルを保存します。元のオフライン比較は、以下の保持されている履歴ループバック観察によって補足されています。パブリック ポリシーや運用DNSサーバーは変更されませんでした。
パブリケーションパスを修復する
参考文献: RFC 1034 §4.3.5, RFC 8767 §4.
1 つのサーバーが古いセカンダリであるか、廃止されたプロバイダーがまだ委任内に存在しているか、または目的の更新を受信していない宛先であるかどうかを確認します。複数のパネルでランダムに編集を繰り返すのではなく、サポートされているパブリケーションまたは転送パスを修復します。変更後、テストされたすべての機関で同じ予想されるデータを確認します。
エニーキャストまたは分割ビューが疑われる場合は、関連するネットワークからの監視を繰り返します。意図的なビュー ポリシーと、偶発的な公開の不一致を区別します。権威ある合意だけでは、すでにキャッシュされた回答を削除したり、メッセージの認証を証明したりできないため、再帰的で代表的なメール証拠で終了します。
保存されている過去の研究室の証拠
保持されているキャプチャの日付は 2026 年 11 月 7 日です。以下では、 EmailAuth.aiの新しい実行やテストではなく、その限定された履歴観察について説明します。
2 つのループバック固定ゾーン認証局への実際の UDP クエリが返されました p=none そして p=reject 同じ絶対的なTXT所有者に対して。どちらの応答にも AA が設定されていました。キャプチャでは、各エンドポイント、UTC 時間、TTL、応答タイプ、コード、およびワイヤー バイトが保存されます。これは、実際に観察された研究室の不一致を示しています。パブリック エニーキャスト サービスは調査しません。キャプチャラベルはauthority_A_policyです。権限_B_ポリシー。保持されたランナーと生のキャプチャは、歴史的証拠としてこのレビュー パッケージに含まれています。それらは検査されたものであり、このレビューのために再実行されたものではありません。実稼働DNS 、 DNSSEC SMTP結果は未テストのままです。