Zorg ervoor dat de back-up een herstelvraag beantwoordt
Voordat u een authenticatierecord wijzigt, moet u voldoende informatie bewaren om uit te leggen wat er is gepubliceerd, wat de provider heeft opgeslagen en hoe de beoogde wijziging ongedaan kan worden gemaakt. Een gedownload zonebestand is nuttig, maar het bestaan ervan bewijst niet dat een herstel de service opnieuw zal creëren. Behandel de back-up als een herstelpakket met een eigenaar, een opnametijd en expliciete limieten.
Deze handleiding gebruikt de openbare DNS import- en exportdocumentatie van Cloudflare , beoordeeld op 8 november 2026, als een concreet voorbeeld van een provider. De workflow is een voorgestelde controle, geen rapport van een hier uitgevoerde export of herstel. Providerinterfaces en accountfuncties moeten vóór operationeel gebruik worden gecontroleerd. Er zijn geen inloggegevens, persoonlijke ondertekeningssleutels of productiezonegegevens vereist om de methode te begrijpen.
Identificeer de zone en de wijzigingsgrens
Noteer de exacte zone, het account en de gezaghebbende provider voordat u bestanden verzamelt. Registratie en gezaghebbende hosting kunnen van verschillende organisaties zijn. Een childzone kan ook een eigen eigenaar hebben. Een export van een ouder bepaalt niet de inhoud van een gedelegeerd kind. De DNS hiërarchie maakt dat onderscheid wezenlijk wanneer de betrokken naam onder een delegatie zit. RFC 1034
Vermeld de namen en typen die binnen het toepassingsgebied vallen: SPF TXT eigenaar, a DKIM selector eigenaar, een DMARC poliseigenaar of een leverancier CNAME doel. Behoud de hele relevante recordset in plaats van alleen de tekenreeks te kopiëren die er belangrijk uitziet. Registreer alle niet-gerelateerde TXT gegevens bij dezelfde eigenaar, zodat een toekomstige reparatie niet per ongeluk de serviceverificatierecords verwijdert. Bewaar het gevraagde wisselgeld gescheiden van de omringende inventaris.
Leg providergegevens en publieke observaties afzonderlijk vast
Cloudflare documenteert een export vanaf de DNS Records-pagina via Importeren en Exporteren en vervolgens Exporteren. Het API-alternatief is een GET-bewerking die DNS leesrechten accepteert. Dat documenteert een route voor een geautoriseerde operator, geen toestemming om een token aan te maken of toegang te krijgen tot een account. Geef de voorkeur aan een reeds goedgekeurd leespad en sla het resultaat op in de beperkte bewijslocatie van het team. Cloudflare import en export
Bewaar de gedownloade bytes ongewijzigd. Geef een werkkopie aan de recensent en bewaar het origineel met een controlesom, UTC-opnametijd, zone-identiteit en operator. Een controlesom detecteert daaropvolgende bytewijzigingen; het bewijst niet dat het origineel compleet, correct was of afkomstig was van de juiste rekening. Registreer of de export voorafging aan de bevriezing van de wijzigingen en of iemand de zone nog kon bewerken tijdens het verzamelen.
Bouw een tweede inventaris op van voorgestelde openbare controles: exacte eigenaar, type, gezaghebbende server, recursieve oplosser, tijdstempel, reactiestatus, geretourneerde gegevens en TTL. Deze controles zouden laten zien wat die servers op dat moment antwoordden. Ze vervangen de export van de provider niet, en de export vervangt ze niet. Er worden hier geen opzoekresultaten geleverd. Originele gezaghebbende en recursieve transcripties blijven vereist bewijsmateriaal.
Behoud de delen die een draagbaar bestand mogelijk niet herstelt
De gedocumenteerde export van Cloudflare omvat opmerkingen, tags en speciale tags voor geselecteerd recordgedrag. Met name de proxystatustags beïnvloeden het importgedrag, en ontbrekende tags kunnen het gedrag afhankelijk laten van de algemene importoptie. Bewaar deze kenmerken en bekijk hun betekenis voordat u een bestand naar een andere service verplaatst. Een andere provider hoeft Cloudflare-specifieke opmerkingen niet als configuratie te interpreteren. Cloudflare -recordattributen
Houd een apart afhankelijkheidsblad bij voor delegatie van registrar, DNSSEC administratie, verkeersrouteringsfuncties, accounteigendom en afzenderconfiguratie. Markeer elk vastgelegd item, afzonderlijk geback-upt of buiten bereik. Label een zonebestand niet als een volledige accountback-up. Een DNS TXT record met daarin een DKIM De publieke sleutel is niet de privésleutel die door de afzender wordt gebruikt. De bewaring van de privésleutel hoort thuis in een apart goedgekeurd systeem, nooit in een gewoon zone-back-upticket. RFC 6376
Ontwerp een smalle omkering voordat je iets verandert
Neem dit fictieve beoordelingsscenario: een team is van plan één SPF TXT record op example.com te vervangen, terwijl een websiteteam een niet-gerelateerd adresrecord aan het bewerken is. Het herstelvoorstel moet de vorige SPF waarde en alle huidige records bij die eigenaar identificeren. Als u een oudere momentopname van een hele zone herstelt, kan de legitieme bewerking van het websiteteam worden gewist. Het standaardherstelvoorstel zou daarom een herziene omkering van het exacte record moeten zijn, waarbij het herstel van de hele zone gereserveerd is voor een afzonderlijk gerechtvaardigd incidentenplan.
Specificeer de voorwaarde die tot ongedaanmaking zou leiden, de persoon die mag beslissen, de operator en de verificatiestappen. Controleer of de vorige waarde nog steeds veilig is: een gepensioneerde leverancier of een gecompromitteerde sleutel mag niet nieuw leven worden ingeblazen alleen maar omdat deze in de momentopname van gisteren verscheen. Een omkeerbare bestandsbewerking is niet automatisch een veilige operationele terugdraaiing. Vergelijk de live bedoelde scope opnieuw voordat u deze later goedkeurt.
Bij een herstelrepetitie moet gebruik worden gemaakt van een geïsoleerde, geautoriseerde bestemming en moeten de parsering, recordsets en providerattributen worden geverifieerd. Het lezen van het bestand is geen repetitie, en het importeren ervan in productie is geen onschuldige test. Cloudflare documenteert een importlimiet van 256 KiB, dus zelfs een geldige export heeft een bestemmingsspecifieke herstelcontrole nodig. Voor dit artikel is geen repetitie of import uitgevoerd. Importlimieten Cloudflare
Sluit het bewijspakket zonder succes te overdrijven
De vrijgavechecklist moet het ongewijzigde bronbestand, de controlesom, het exacte recordverschil, de weggelaten afhankelijkheden en de voorgestelde omkering vermelden. Ook moet worden vastgelegd wie het materiaal heeft beoordeeld en welk bewijsmateriaal nog ontbreekt. Beperk de toegang, zelfs als veel DNS waarden openbaar zijn: een geconsolideerde inventaris en opmerkingen van de provider kunnen operationele details blootleggen die niet duidelijk zijn uit één openbare zoekopdracht.
Vergelijk na een onafhankelijk geautoriseerde verandering of omkering gezaghebbende en recursieve observaties met de goedgekeurde intentie. Caches kunnen eerdere antwoorden behouden, dus een herstelde waarde op het bedieningspaneel bepaalt niet meteen het zicht van elke ontvanger. Houd de vorige en vervangingswaarden, observatietijden en cache-gerelateerde onzekerheid bij elkaar. RFC 2308
Het nuttige resultaat is een herstelpakket dat een andere operator kan evalueren zonder te raden. Het is geen belofte dat een gedownload bestand de e-mailbezorging zal herstellen. Het gedrag van de afzender en het bewijs van ontvangen berichten hebben nog steeds hun eigen verificatie nodig, en de oorspronkelijke uitvoeringspoort blijft open totdat de toepasselijke controles daadwerkelijk zijn uitgevoerd.