Diferentes servidores autorizados devem fornecer uma visão coerente da zona que atendem. Quando as verificações de autenticação discordam, consulte cada autoridade anunciada para saber o mesmo proprietário, tipo e classe. Mantenha as respostas não editadas antes de normalizá-las; uma lista concisa de valores pode ocultar referências, erros e sinalizadores de autoridade ausentes.
Estabeleça quais servidores são importantes
Referências: RFC 1034 §4.2, RFC 1035 §4.1.1.
Leia a delegação pai e compare-a com o conjunto NS do ápice filho. Resolva os nomes de servidores anunciados em endereços e registre qual endereço foi consultado. Um nome de host pode ter vários endereços e anycast pode rotear o mesmo endereço para instâncias diferentes. Uma consulta bem-sucedida, portanto, não prova que todos os back-end possíveis estejam atualizados.
Use uma consulta direta não recursiva, como cavar @SERVER_IP _dmarc.example .test. TXT +norecurse. Inspecione o código de resposta e o sinalizador AA, as seções de resposta e autoridade e qualquer alias. Uma referência ou resposta não oficial de um servidor que você esperava que fosse oficial é uma descoberta diferente de uma resposta oficial com conteúdo desatualizado.
Compare dados sem destruir a estrutura
Referências: RFC 2181 §5, RFC 1035 §3.3.14, RFC 1982 §3.2.
A ordenação do conjunto de registros DNS não é uma prioridade política. Classifique objetos de registro independentes para comparação, mas preserve a ordem das strings dentro de cada Registro TXT. Os TTLs podem diferir devido à configuração ou ao contexto da consulta; registre-os em vez de descartá-los silenciosamente. Uma contagem regressiva TTL recursiva não deve ser comparada como se fosse uma configuração de zona de autoridade.
Consulte SOA como contexto de suporte. Uma serial SOA não é um hash da zona. As séries correspondentes não podem provar registros correspondentes, e um número inteiro impresso maior não é universalmente mais novo porque a aritmética serial é encapsulada. De acordo com RFC 1982 , as comparações com exatamente metade do espaço serial são indefinidas; não os force a uma ordem mais nova/mais antiga. Compare diretamente os dados solicitados e use os registros de transferência ou publicação do provedor para explicar as diferenças.
Reproduza discordâncias e reordenações inofensivas
Crie duas autoridades isoladas, por exemplo.test. Ambos publicam o mesmo conjunto MX , mas retornam seus registros em ordens diferentes. A comparação normalizada esperada é igual. Em seguida, dê autoridade A _dmarc.example.test TXT "v=DMARC1; p=none" e B _dmarc.example.test TXT "v=DMARC1; p=reject". A comparação esperada é desigual, mesmo que ambas as séries SOA sejam deliberadamente iguais.
Consulte ambas as autoridades com o mesmo tipo e opções. Armazene endereço do servidor, carimbo de data/hora, código de resposta, sinalizadores, registros completos e serial. A comparação off-line original é complementada pela observação histórica de loopback retida abaixo. Nenhuma política pública ou servidor DNS de produção foi alterado.
Reparar o caminho de publicação
Referências: RFC 1034 §4.3.5, RFC 8767 §4.
Verifique se um servidor é secundário obsoleto, um provedor aposentado ainda presente na delegação ou um destino que nunca recebeu a atualização pretendida. Repare a publicação suportada ou o caminho de transferência em vez de fazer edições repetidas aleatórias em vários painéis. Confirme os mesmos dados esperados em todas as autoridades testadas após a alteração.
Repetir observações de redes relevantes quando houver suspeita de visualizações anycast ou divididas. Distinguir uma política de visão intencional de uma inconsistência pública acidental. Termine com evidências de correio recursivo e representativo porque o acordo oficial por si só não pode eliminar respostas já armazenadas em cache ou provar a autenticação de uma mensagem.
Evidências históricas de laboratório retidas
A captura retida é datada de 7 de novembro de 2026. A seguir descreve-se essa observação histórica limitada, não uma nova execução ou um teste de EmailAuth.ai .
Consultas UDP reais para duas autoridades de zona fixa de loopback retornadas p=none e p=reject para o mesmo proprietário absoluto TXT . Ambas as respostas tiveram AA definida. A captura preserva cada endpoint, hora UTC, TTL, tipo de resposta, código e bytes de ligação. Isto demonstra uma inconsistência real observada em laboratório; ele não pesquisa um serviço público anycast. Os rótulos de captura são autoridade_A_policy; autoridade_B_policy. O corredor retido e as capturas brutas estão incluídos neste pacote de revisão como evidência histórica. Eles foram inspecionados e não repetidos para esta revisão. DNS de produção, DNSSEC e os resultados SMTP permanecem não testados.