Bevestig dat Gandi de actieve zone host
Een domeinregistratie bij Gandi bewijst op zichzelf niet dat Gandi zijn gezaghebbende DNS bedient. Controleer de gedelegeerde naamservers eerst voor het domein. Gandi zegt dat extern gehoste naamservers moeten worden beheerd via de externe provider. Deze handleiding behandelt de gedocumenteerde Gandi LiveDNS-editor, niet een migratie vanaf een andere DNS host.
Houd de configuratie van de e-mailservice gescheiden van DNS publicatie. Uw verzendende provider levert de ondersteunde keuzeschakelaar, sleutel of CNAME doel en eventuele envelop-domeinvereisten. Gandi publiceert deze gegevens; het creëren van een DKIM TXT record zorgt er niet voor dat een niet-gerelateerde mailserver begint met ondertekenen. Leid geen universele Gandi af SPF opnemen voor een domein alleen maar omdat de DNS daar wordt gehost.
Identificeer de DNS beheerder, de eigenaar van de verzendende service en de persoon die bevoegd is om het domeinbeleid goed te keuren. Bewaar bestaande recordsets voor alle betrokken namen. Controleer of het domein is gekoppeld aan een gedeelde zone: Gandi-documenten die wijzigen naar een gekoppelde zone hebben invloed op elk gekoppeld domein. Een schijnbaar lokale authenticatiewijziging kan daarom een bredere impact hebben.
Gebruik een begrensde editorwijziging
De gedocumenteerde route is Domein, het geselecteerde domein en vervolgens DNS records. De tabelmodus ondersteunt het toevoegen of bewerken van individuele vermeldingen; tekstmodus bewerkt de hele zone. Bij een kleine authenticatiewijziging zijn individuele records makkelijker te vergelijken met het goedgekeurde verzoek. Gebruik de tekstmodus alleen als de redacteur begrepen is en het volledige voorgestelde verschil is beoordeeld.
Gandi LiveDNS biedt Save een back-up en herstel. Maak vóór de wijziging een back-up, maar ga er niet vanuit dat het later onschadelijk is: een volledig herstel kan niet-gerelateerde bewerkingen die sinds die momentopname zijn gemaakt, ongedaan maken. Leg ook een gericht herstelplan vast voor de getroffen documenten. Als het om een gedeelde zone gaat, neem dan de andere domeineigenaren mee in dat plan.
Maak een publicatiewerkblad met de volledige beoogde eigenaar, editorlabel, type en waarde. Voor een synthetisch domein example.com is de top example.com , its DMARC eigenaar is _dmarc.example.com en een DKIM eigenaar kan rotation1._domainkey.example.com zijn. Deze voorbeeldlabels zijn geen door de provider gegenereerde instellingen. Gebruik de daadwerkelijke selector en het domein van de verzendende service.
Behoud TXT grenzen en namen
Gandi's TXT documentatie gebruikt @ voor het kale domein en een relatief label voor een subdomein. De tekstzonevoorbeelden vertegenwoordigen lange TXT gegevens als meerdere tekenreeksen tussen aanhalingstekens binnen één record, elk niet langer dan 255 tekens. Dit verschilt van het maken van meerdere onafhankelijke TXT records.
Dat onderscheid is van belang voor authenticatie. Eén SPF beleid kan bestaan uit meerdere tekenreeksen in één TXT bronrecord, maar uit meerdere kandidaten SPF records bij dezelfde eigenaar veroorzaken een SPF fout. Ook DKIM sleutelmateriaal moet compleet blijven. Maak niet meerdere niet-gerelateerde sleutels of beleidsregels om een tekstveldlimiet te overschrijden, en voeg geen visuele regeleinden in een sleutel in zonder te begrijpen hoe de editor deze serialiseert.
Gebruik het TXT recordtype voor SPF . Gebruik TXT of CNAME voor DKIM volgens de instructies van de verzendende provider, niet volgens persoonlijke voorkeur. Een CNAME bij een selector is een alias voor een andere domeinnaam, en geen container voor tekst met een openbare sleutel. Als een aangevraagde CNAME botst met bestaande gegevens op die naam, los dan de botsing op in plaats van de actieve selector van een andere service te vervangen.
Publiceer het beoogde beleid, geen voorbeeld
Voor een SPF update is een beoordeling nodig van alle legitieme afzenders en DNS-lookup-afhankelijkheden. Bewaar de benodigde autorisaties in één geldig beleid op het betreffende envelopdomein. Een DMARC update vereist een weloverwogen beleidsbeslissing voor het zichtbare Van-domein en de toepasselijke subdomeinen. Het toevoegen van een provider is geen reden om nog een DMARC beleid toe te voegen bij een eigenaar waar deze al bestaat.
Kopieer een voorbeeldrapportageadres of puntrapporten niet zonder toestemming naar een derde partij. Vervang een afgedwongen DMARC beleid niet alleen door monitoring omdat er een onboarding-screenshot wordt weergegeven p=none. Bepaal of de nieuwe afzender een ondersteund uitgelijnd pad heeft voordat u de domeinbrede beveiliging wijzigt.
Als een provider records opvraagt onder een afzonderlijk gedelegeerde onderliggende zone, publiceert u deze in de zone die daadwerkelijk de bevoegdheid heeft voor die onderliggende zone. Een aantrekkelijk ogend item in de bovenliggende editor heeft geen voorrang op een delegatie. Los de DNS eigendomsgrens op voordat u opslaat.
Verifieer op twee technische lagen
Vraag bij elke gezaghebbende server naar de volledige beoogde eigenaar en het recordtype. Bewaar de antwoorden en vergelijk de logische TXT inhoud, niet alleen hoe offertes er in een tool uitzien. Controleer de hele sleutel, het selectorlabel, eventuele aliasdoelen en de ingestelde recordgrenzen. Pas als gezaghebbende antwoorden correct zijn, mag u in de cache opgeslagen recursieve antwoorden onderzoeken. De brede schatting van de verspreiding van een provider is geen vervanging voor het diagnosticeren van een onjuiste naam van de eigenaar.
Activeer of valideer vervolgens de verzendservice met behulp van zijn eigen workflow en verzend een gecontroleerd bericht. Registreer de zichtbare resultaten van From, envelopidentiteit, elke DKIM d= en s=, en vertrouwde ontvanger. SPF verifieert de identiteit van de envelop; DKIM verifieert de identiteit van een ondertekenaar. DMARC heeft een inhaalpad nodig dat is uitgelijnd met het zichtbare Van onder de toepasselijke modus.
Geval van synthetische fout: Gandi publiceert de juiste sleutel op rotation1._domainkey.example.com , maar het bericht gebruikt s=rotation2 en d=example.com. Het gepubliceerde rotatie1-record kan die handtekening niet valideren. De oplossing is om de selector van de afzender in overeenstemming te brengen met de vereiste publicatie, en niet om DMARC te verzwakken of een niet-gerelateerde SPF opname toe te voegen.
Herstel en sluit de wijziging
Als de publicatie een route doorbreekt, identificeer dan de exacte gewijzigde eigenaar en herstel de goedgekeurde vorige recordset. Herstel geen volledige gedeelde zone zonder de tussenliggende wijzigingen en de betrokken domeinen te vergelijken. Bewaar eerdere sleutels zo lang als het rotatieplan voor de ondertekeningsservice vereist; Het verwijderen DNS en het activeren van handtekeningen moeten op elkaar worden afgestemd.
Sluit het werk alleen af als de actieve zone, de beoogde DNS antwoorden, de verzendactivatie en de waargenomen berichtauthenticatie hiermee instemmen. Dit is een documentaire gids met een geval van synthetisch falen. Er werd geen Gandi-account, gezaghebbende DNS query of afgeleverd bericht gebruikt als levend bewijs. De beheerder moet deze observaties verzamelen voordat hij de voltooiing van de productie goedkeurt.
Voorkom dat een terugdraaiing van een gedeelde zone niet-gerelateerd werk ongedaan maakt
Schriftelijke casus GAN-01 gaat ervan uit dat example.com en example.net een zone delen. Een later goedgekeurd websiterecord is toegevoegd na een back-up, terwijl de nieuwe selector op example.com verkeerd is. Als u de volledige oudere back-up herstelt, wordt ook de websitewijziging binnen het gekoppelde bereik verwijderd. Vergelijk de huidige gegevens, identificeer de goedgekeurde selector-only reparatie en bevestig beide domeineigenaren voordat u deze toepast. Hier is geen enkele zone, back-up of herstel geïnspecteerd of uitgevoerd.
Behoud de handhavingsgrens
RFC 9989 Sectie 7.4 vereist geldige DKIM , en niet alleen SPF , voor het publiceren van domeinen p=reject, en waarschuwt voor de interoperabiliteit van indirecte e-mail en mailinglijsten. Eén enkele succesvolle test met directe berichten is geen bewijs dat elke legitieme route klaar is voor krachtiger beleid. Behoud de bestaande goedgekeurde bescherming terwijl u de feitelijke kloof diagnosticeert; elke beleidsverandering heeft zijn eigen beslissing nodig.