Verschillende gezaghebbende servers moeten een samenhangend beeld geven van de zone die zij bedienen. Als de authenticatiecontroles het niet eens zijn, vraag dan bij elke geadverteerde autoriteit naar dezelfde eigenaar, hetzelfde type en dezelfde klasse. Bewaar de onbewerkte reacties voordat u ze normaliseert; een korte lijst met waarden kan verwijzingen, fouten en ontbrekende autoriteitsvlaggen verbergen.
Bepaal welke servers er toe doen
Referenties: RFC 1034 §4.2, RFC 1035 §4.1.1.
Lees de bovenliggende delegatie en vergelijk deze met de onderliggende apex NS-set. Zet de geadverteerde servernamen om in adressen en leg vast welk adres werd opgevraagd. Een hostnaam kan meerdere adressen hebben, en anycast kan hetzelfde adres naar verschillende instanties routeren. Eén succesvolle zoekopdracht bewijst dus niet dat elke mogelijke backend actueel is.
Gebruik een directe, niet-recursieve query, zoals dig @SERVER_IP _dmarc.example .test. TXT + geen herhaling. Inspecteer de responscode en de AA-vlag, de antwoord- en autoriteitssecties en eventuele alias. Een verwijzing of een niet-gezaghebbend antwoord van een server waarvan u verwachtte dat het gezaghebbend zou zijn, is een andere bevinding dan een gezaghebbend antwoord met verouderde inhoud.
Vergelijk gegevens zonder de structuur te vernietigen
Referenties: RFC 2181 §5, RFC 1035 §3.3.14, RFC 1982 §3.2.
De volgorde DNS -recordsets is geen beleidsprioriteit. Sorteer onafhankelijke recordobjecten ter vergelijking, maar behoud de tekenreeksvolgorde binnen elk object TXT record. TTL's kunnen verschillen vanwege de configuratie of de querycontext; registreer ze in plaats van ze stilzwijgend weg te gooien. Een recursieve TTL-aftelling mag niet worden vergeleken alsof het de zoneconfiguratie van een autoriteit is.
Query SOA als ondersteunende context. Een SOA-serienummer is geen hash van de zone. Overeenkomende serienummers kunnen geen overeenkomende records bewijzen, en een groter afgedrukt geheel getal is niet universeel nieuwer omdat seriële rekenkunde niet meer klopt. Onder RFC 1982 zijn vergelijkingen met precies de helft van de seriële ruimte ongedefinieerd; dwing ze niet tot een nieuwere/oudere bestelling. Vergelijk de gevraagde gegevens direct en gebruik de overdrachts- of publicatielogboeken van de provider om de verschillen uit te leggen.
Reproduceer meningsverschillen en onschuldige herschikkingen
Maak twee geïsoleerde autoriteiten, bijvoorbeeld.test. Beide publiceren dezelfde MX set, maar retourneren de records in verschillende volgordes. De verwachte genormaliseerde vergelijking is gelijk. Geef vervolgens autoriteit A _dmarc.example.test TXT "v=DMARC1; p=none" en B _dmarc.example.test TXT "v=DMARC1; p=reject". De verwachte vergelijking is ongelijk, zelfs als beide SOA-series opzettelijk hetzelfde zijn.
Bevraag beide autoriteiten met hetzelfde type en dezelfde opties. Bewaar serveradres, tijdstempel, responscode, vlaggen, volledige records en serienummers. De oorspronkelijke offline vergelijking wordt hieronder aangevuld met de bewaarde historische loopback-observatie. Er is geen openbare beleids- of productie DNS server gewijzigd.
Herstel het publicatiepad
Referenties: RFC 1034 §4.3.5, RFC 8767 §4.
Controleer of één server een verouderde secundaire server is, een gepensioneerde provider die nog steeds in delegatie aanwezig is, of een bestemming die nooit de beoogde update heeft ontvangen. Herstel het ondersteunde publicatie- of overdrachtspad in plaats van willekeurige herhaalde bewerkingen in verschillende panelen uit te voeren. Bevestig na de wijziging dezelfde verwachte gegevens bij elke geteste autoriteit.
Herhaal observaties van relevante netwerken wanneer er een vermoeden bestaat van anycast of split views. Maak onderscheid tussen een opzettelijk visiebeleid en een toevallige publieke inconsistentie. Sluit af met recursief en representatief e-mailbewijs, omdat gezaghebbende overeenstemming alleen de reeds in de cache opgeslagen antwoorden niet kan elimineren of de authenticatie van een bericht kan bewijzen.
Historisch laboratoriumbewijs bewaard
De bewaarde opname dateert van 7 november 2026. Het volgende beschrijft die begrensde historische observatie, niet een nieuwe uitvoering of een test van EmailAuth.ai .
Werkelijke UDP-query's aan twee loopback-autoriteiten met een vaste zone zijn geretourneerd p=none En p=reject voor dezelfde absolute TXT eigenaar. Bij beide antwoorden was AA ingesteld. Bij de opname worden elk eindpunt, UTC-tijd, TTL, antwoordtype, code en draadbytes behouden. Dit toont een werkelijk waargenomen inconsistentie in het laboratorium aan; er wordt geen onderzoek gedaan naar een openbare anycast-dienst. De capture-labels zijn autoriteit_A_policy; autoriteit_B_beleid. De behouden hardloper en de onbewerkte opnames zijn als historisch bewijsmateriaal in dit beoordelingspakket opgenomen. Ze zijn geïnspecteerd en niet opnieuw uitgevoerd voor deze beoordeling. Productie- DNS , DNSSEC en SMTP resultaten blijven ongetest.