Gandi がアクティブ ゾーンをホストしていることを確認する
Gandi でのドメイン登録だけでは、Gandi がその権威DNSにサービスを提供していることが確立されるわけではありません。委任されたものを確認する ネームサーバー まずドメインについて。 Gandi 氏は、外部でホストされるネームサーバーは外部プロバイダーを通じて管理する必要があると述べています。このガイドでは、別のDNSホストからの移行ではなく、文書化された Gandi LiveDNS エディタについて説明します。
メールサービスの構成をDNS公開とは別にしてください。送信プロバイダーは、サポートされているサービスを提供します セレクタ、キーまたは CNAME ターゲットおよびエンベロープ ドメインの要件。ガンディはそれらの記録を出版します。を作成する DKIM TXTレコード 無関係なメールサーバーが署名を開始することはありません。普遍的なガンジーを推測しないでください SPF ドメインに含めるのは、そのDNSがそこでホストされているという理由だけです。
DNS管理者、送信サービスの所有者、およびドメイン ポリシーの承認を許可された人を特定します。影響を受けるすべての名前の既存のレコード セットを保存します。ドメインが共有ゾーンにリンクされているかどうかを確認します。Gandi ドキュメントがリンク ゾーンに変更されると、リンクされたすべてのドメインに影響します。したがって、一見ローカルな認証編集は、より広範囲に影響を与える可能性があります。
境界付きエディターの変更を使用する
文書化されたルートは、ドメイン、選択したドメイン、 DNSレコードの順です。テーブル モードは、個々のエントリの追加または編集をサポートします。テキストモードではゾーン全体を編集します。認証の変更が小さい場合、個々のレコードを承認されたリクエストと比較するのが簡単になります。テキスト モードは、エディターを理解し、提案された相違点全体を確認した場合にのみ使用してください。
Gandi LiveDNS はバックアップの保存と復元を提供します。変更の前にバックアップを作成しますが、後で復元しても無害であるとは考えないでください。完全な復元では、そのスナップショット以降に行われた無関係な編集が元に戻る可能性があります。影響を受けたレコードの対象を絞った復旧計画も記録します。共有ゾーンが関係する場合は、その計画に他のドメイン所有者を含めます。
完全な意図された所有者、編集者のラベル、タイプ、および値を含むパブリケーション ワークシートを作成します。合成ドメインexample.comの場合、頂点はexample.comです。 DMARC 所有者は_dmarc.example.comで、 DKIM所有者はrotation1._domainkey.example.comである可能性があります。これらのラベルの例は、プロバイダーが生成した設定ではありません。送信サービスからの実際のセレクターとドメインを使用します。
TXT境界と名前を保持する
Gandi のTXTドキュメントでは、ベア ドメインには @ を使用し、サブドメインには相対ラベルを使用します。そのテキストゾーンの例では、長いTXTデータを 1 つのレコード内の複数の引用符で囲まれた文字列として表しており、各文字列は 255 文字以内です。これは、複数の独立したTXTレコードを作成することとは異なります。
この区別は認証にとって重要です。 1 つのSPFポリシーは、1 つのTXTリソース レコード内の複数の文字列で構成できますが、候補は複数あります。 SPFレコード 同じ所有者ではSPFエラーが発生します。 DKIMキーマテリアルも完全なままでなければなりません。テキスト フィールドの制限を超えるために、無関係なキーやポリシーを複数作成したり、エディターがそれらをシリアル化する方法を理解せずにキーに視覚的な改行を挿入したりしないでください。
SPFにはTXTレコード タイプを使用します。個人の好みではなく、送信プロバイダーの指示に従ってDKIMにTXTまたはCNAME使用してください。セレクターのCNAMEは別のドメイン名のエイリアスであり、公開キー テキストのコンテナーではありません。要求されたCNAMEその名前の既存のデータと衝突する場合は、別のサービスのアクティブなセレクターを置き換えるのではなく、衝突を解決します。
サンプルではなく、意図したポリシーを公開する
SPF更新では、すべての正当な送信者と DNS ルックアップの依存関係を確認する必要があります。関連するエンベロープ ドメインで、必要な承認を 1 つの有効なポリシーに保存します。 DMARC更新には、表示される From ドメインとその該当するサブドメインに対して、慎重なポリシー決定が必要です。プロバイダーを追加しても、既に存在する所有者に別のDMARCポリシーを追加する理由にはなりません。
サンプルレポートアドレスをコピーしたり、承認なしに第三者にレポートを送信しないでください。オンボーディングのスクリーンショットに次のような理由があるという理由だけで、強制されたDMARCポリシーをモニタリングに置き換えないでください。 p=none。ドメイン全体の保護を変更する前に、新しい送信者がサポートされている調整されたパスを持っているかどうかを確認してください。
プロバイダーが、個別に委任された子ゾーンの下にあるレコードを要求した場合は、実際にその子に対する権限を持つゾーンでレコードを公開します。親エディターの魅力的な外観のエントリは、委任をオーバーライドしません。保存する前に、 DNS所有権の境界を解決してください。
2 つの技術層で検証する
各権威サーバーにクエリを実行して、完全な意図された所有者とレコード タイプを確認します。答えを保存し、引用符がツール内でどのように見えるかだけでなく、論理的なTXTコンテンツを比較します。キー全体、セレクター ラベル、エイリアス ターゲット、およびレコード セットの境界を確認してください。信頼できる回答が正しい場合にのみ、キャッシュされた再帰的回答を調査する必要があります。プロバイダーによる広範な伝播推定は、間違った所有者名を診断する代わりにはなりません。
次に、独自のワークフローを使用して送信サービスをアクティブ化または検証し、制御されたメッセージを送信します。表示されている From、エンベロープ ID、各DKIM d= およびs=,および信頼できる受信者の結果を記録します。 SPFエンベロープ ID を認証します。 DKIM署名 ID を検証します。 DMARCは、該当するモードで表示される From に合わせた通過パスが必要です。
合成失敗のケース: Gandi は、 rotation1._domainkey.example.comで正しいキーを公開しますが、メッセージではs=rotation2およびd=example.com.公開された Rotation1 レコードはその署名を検証できません。解決策は、 DMARC弱めたり、無関係なSPFインクルードを追加したりすることではなく、送信者のセレクターと必要なパブリケーションを調整することです。
変更を回復して閉じます
パブリケーションによってルートが中断された場合は、変更された正確な所有者を特定し、承認された以前のレコード セットを復元します。途中の変更と影響を受けるドメインを比較せずに、共有ゾーン全体を復元しないでください。署名サービスのローテーション計画で必要な期間、以前のキーを保持します。 DNS削除と署名のアクティブ化は調整する必要があります。
アクティブ ゾーン、意図したDNS応答、送信アクティベーション、および観察されたメッセージ認証が一致した場合にのみ、作業を終了します。これは、合成失敗例を含むドキュメント ガイドです。 Gandi アカウント、権威DNSクエリ、または配信されたメッセージは、生きた証拠として使用されませんでした。管理者は、実稼働の完了を承認する前に、これらの観察結果を収集する必要があります。
共有ゾーンのロールバックによって無関係な作業が取り消されるのを阻止する
文書化されたケース GAN-01 では、 example.comとexample.netゾーンを共有していることを前提としています。後で承認された Web サイトのレコードがバックアップ後に追加されましたが、 example.comの新しいセレクターが間違っています。古いバックアップ全体を復元すると、リンクされたスコープ全体で Web サイトの変更も削除されます。現在のレコードを比較し、承認されたセレクターのみの修復を特定し、適用する前に両方のドメイン所有者を確認します。ここではゾーン、バックアップ、復元は検査または実行されませんでした。
施行境界を維持する
RFC 9989 セクション 7.4 では、ドメイン公開にはSPFのみではなく有効なDKIMが必要です p=reject、間接メールとメーリングリストの相互運用性について警告します。ダイレクト メッセージ テストが 1 回成功しただけでは、すべての正当なルートがより強力なポリシーに対応できるようになっているという証拠にはなりません。実際のギャップを診断しながら、既存の承認された保護を維持します。政策変更には独自の決定が必要です。