どのDNSサービスが変更を制御するかを確立する
認証レコードの公開は、ドメインの信頼構成の変更です。まず、委任された権限のあるサービス、正しい DigitalOcean チーム、および意図された所有者名を含む正確なゾーンを特定します。ドロップレット上で実行されている Web サイトは、そのドメインのDNSがホストされる場所を確立しません。ドメインを示すアカウントも、公的委任がそこを指していることを証明するものではありません。
DigitalOcean のDNS制限 DNSホスティングとドメイン登録を区別します。また、最小レコード TTL が 30 秒であることも文書化されており、そのネーム サーバーは DNSSEC 対応ドメインをサポートしていないと述べられています。既存の署名付き委任は、電子メール設定の実行中に保護を無効にするための招待ではなく、ドメイン所有者に対する互換性の決定として扱います。このガイドは、すでに承認され、互換性のある DigitalOcean ホスト ゾーンを前提としています。委任を移行したり変更したりすることはありません DNSSEC.
エディターを開く前に、必要な変更を定義します。提案されたレコードごとに、それを提供した送信サービス、サポートされるビジネス フロー、予想される所有者とレコード タイプ、および承認者を特定します。特定の依存関係の確認が必要な場合を除き、無関係な Web、受信メール、および検証の記録を変更の範囲外に保管します。
使用可能な開始点を保持する
プロバイダーは、[ネットワーク]、[ドメイン]、およびドメインの [その他] メニューにゾーン ダウンロード オプションを文書化しています。その ゾーンのエクスポート手順 ゾーンのレコードを含むプレーンテキスト ファイルを記述します。承認された輸出を復旧計画への入力の 1 つとして使用し、提案された差異、所有権の記録、および承認された復旧基準を伴います。エクスポートは、復元ボタンが存在すること、または後の変更に影響を与えることなく以前の状態を復元できることを証明するものではありません。
提案された証拠シートでは、対象となる所有者の名前を独自の列に指定します。レコードのタイプと値は別の列に属します。これにより、一般的なレビューの失敗が防止されます。つまり、完全な所有者、相対ラベル、およびテキスト値が交換可能な文字列として扱われたため、本来は正しいポリシーが間違ったDNS名にアタッチされます。
文書化されたエディター モデルを使用する
現在 記録管理ガイド ネットワーク、ドメイン、選択したドメインを通じてオペレータをルーティングし、作成します 記録。 TXTの場合、ホスト名フィールドは頂点マーカー @ またはサブドメイン プレフィックスを受け入れ、 TXT値はテキストを保持します。説明します SPF そして直接 DKIM TXT経由でキーを公開し、サブドメイン委任の NS レコードをサポートします。
要求された完全修飾所有者をそのゾーンのエントリー モデルに意図的に変換します。架空のexample.comゾーンの場合、相対 DMARC ラベル_dmarcは_dmarc.example.comを表します。これは名前の構造の説明であり、提案されたポリシー値やレコードが保存されたという主張ではありません。予期されるパブリック所有者は、フォームでの表示方法とは関係なくチェックする必要があります。
送信サービスの現在のアカウント固有のマテリアルを使用して、 DKIMセレクター、公開キーまたは委任されたターゲット。 DNSホストは送信者の署名 ID を選択しません。サービスに必要な場合は、 CNAME 直接のTXTキーではなく、その区別を保持し、置換を承認する前に既存の依存関係の正確な所有者を検査します。他の顧客の設定スクリーンショットから、欠落しているターゲットを決して推測しないでください。
認証レコードを論理的に分離して保持する
RFC 7208セクション 3.2 および 3.3 複数の候補を区別する SPFレコード 1 つのレコード内の複数の文字列から。新しいサービスに 2 番目の競合するSPFポリシーを追加しないでください。表示内での引用符または文字列の分割だけでは、1 つのレコードが評価されるか複数のレコードが評価されるかはわかりません。返されたレコード境界とその結果の連結値を検査します。
DKIMの場合、 RFC 6376セクション 3.1 キーの検索をセレクターと署名ドメインに結び付けます。公開だけでは、アプリケーションがそのキーを選択したこと、または意図したメッセージに署名したことを証明することはできません。送信者の構成とパブリックDNSマテリアルは、同じ計画された ID を参照する必要があります。
DMARC 、 SPFレコードがたまたま存在する場所ではなく、該当する_dmarc所有者に属します。 RFC 9989セクション 4.1 および 4.4 ポリシーを説明し、 アライメント 関係。 DNS のみの結果は、メールが正常に調整されたことを示す証拠ではなく、無関係なドメインの認証メカニズムを通過させるだけでは十分ではありません。
公開と実際の使用を異なる成果として検証
承認された検証計画では、承認された編集の前後に、サーバー、タイムスタンプ、所有者、タイプ、TTL、完全なレコード セットを含む信頼できる回答を取得する必要があります。応答が存在しない場合は、タイムアウトや間違ったサーバーに送信されたクエリと区別できるようにしてください。ダッシュボードのスクリーンショットのみを別のダッシュボードのスクリーンショットと比較すると、公開の手順が欠落します。
次に、実際のアプリケーション フローを通じて制御されたメッセージを取得し、信頼できる受信者の結果を保存します。表示されている From ドメイン、エンベロープ ID、 DKIM署名ドメイン、およびセレクターを承認された構成と比較します。認証と調整を、配信やフォルダーの配置とは別に記録します。 DNSルックアップが成功しても、空のメッセージ テスト セルが埋まってはいけません。
観察された所有者または値が計画と異なる場合は、それ以上の変更を一時停止し、承認された最小の回復アクションを特定します。キャッシュは以前の回答を保存できるため、回復の観察には、即座にグローバルな一貫性を保証するのではなく、タイミングとコンテキストが必要です。インシデント レコードは、入力エラーと古いデータまたは非アクティブな送信構成を区別できるように、十分に具体的なものにしてください。
架空のレビューと顕著な証拠
架空のレビュー担当者は、 example.comの頂点で有効と思われるDMARC値を含むドラフトを受け取ります。レビュー担当者は送信前に所有者の不一致を発見し、提案された所有者を_dmarcに変更します。ワークシートには依然として、正式な前後の回答や受信したメッセージが含まれていません。これは論文レビューであり、DigitalOcean の成功したウォークスルーではありません。
正確な元の要件は未解決のままです。つまり、権限のある前後クエリと独立して検証されたメッセージを含む、現在の DigitalOcean パブリッシング ウォークスルーです。コミッショニングゲートは次のとおりです。 現在の製品 ID とプロバイダー所有のドキュメントを確認します。実際のメッセージまたは公開されたレコードをテストします。サポートされていないカスタム ドメイン機能については正直に述べてください。ドキュメントはこの提案されたワークフローをサポートしていますが、テナントの適用性、独自のテスト、技術的な SME レビュー、リアルタイムの視覚的チェック、所有者の出版物の承認は未解決のままです。 DNSまたはアカウントの操作は実行されていません。