Bekräfta att Gandi är värd för den aktiva zonen
En domänregistrering hos Gandi bekräftar inte i sig att Gandi betjänar dess auktoritativa DNS . Kontrollera delegerade namnservrar för domänen först. Gandi säger att externt värdade namnservrar måste hanteras genom den externa leverantören. Den här guiden täcker den dokumenterade Gandi LiveDNS-redigeraren, inte en migrering från en annan DNS värd.
Håll e-posttjänstens konfiguration åtskild från DNS publicering. Din sändande leverantör tillhandahåller dess stöd väljare, nyckel eller CNAME mål och eventuella krav på kuvertdomän. Gandi publicerar dessa poster; skapa en DKIM TXT post orsakar inte att en icke-relaterad e-postserver börjar signera. Dra inte slutsatsen en universell Gandi SPF inkludera för en domän bara för att dess DNS finns där.
Identifiera DNS administratören, ägaren av den sändande tjänsten och den person som är behörig att godkänna domänpolicyn. Spara befintliga postuppsättningar för alla berörda namn. Kontrollera om domänen är länkad till en delad zon: Gandi-dokument som ändras till en länkad zon påverkar varje länkad domän. En till synes lokal autentiseringsredigering kan därför ha en bredare effekt.
Använd en avgränsad redigeringsändring
Den dokumenterade rutten är Domän, den valda domänen, sedan DNS poster. Tabellläget stöder att lägga till eller redigera enskilda poster; textläge redigerar hela zonen. För en liten autentiseringsändring är enskilda poster lättare att jämföra med den godkända begäran. Använd endast textläge när editorn förstås och hela den föreslagna skillnaden har granskats.
Gandi LiveDNS erbjuder Spara en säkerhetskopia och återställ. Ta en säkerhetskopia före ändringen, men anta inte att det är ofarligt att återställa den senare: en fullständig återställning kan vända orelaterade redigeringar som gjorts sedan den ögonblicksbilden. Spela in en riktad återhämtningsplan för de berörda journalerna också. Om en delad zon är inblandad, inkludera de andra domänägarna i den planen.
Skapa ett publikationskalkylblad med den fullständiga tilltänkta ägaren, redaktörsetikett, typ och värde. För en syntetisk domän example.com är spetsen example.com , dess DMARC ägare är _dmarc.example.com och en DKIM ägare kan vara rotation1._domainkey.example.com . Dessa exempeletiketter är inte leverantörsgenererade inställningar. Använd själva väljaren och domänen från sändningstjänsten.
Bevara TXT gränser och namn
Gandis TXT dokumentation använder @ för den blotta domänen och en relativ etikett för en underdomän. Dess textzonsexempel representerar långa TXT data som flera citerade strängar inom en post, var och en på högst 255 tecken. Detta skiljer sig från att skapa flera oberoende TXT poster.
Den distinktionen är viktig för autentiseringen. En SPF policy kan bestå av flera teckensträngar i en enda TXT resurspost, men flera kandidater SPF rekord hos samma ägare orsaka ett SPF fel. DKIM nyckelmaterial måste också förbli komplett. Skapa inte flera orelaterade nycklar eller policyer för att komma förbi en textfältsgräns, och infoga inte visuella radbrytningar i en nyckel utan att förstå hur redigeraren serialiserar dem.
Använd TXT posttypen för SPF . Använd TXT eller CNAME för DKIM enligt sändningsleverantörens instruktioner, inte enligt personliga preferenser. Ett CNAME vid en väljare är ett alias till ett annat domännamn, inte en behållare för text med offentlig nyckel. Om en begärd CNAME kolliderar med befintliga data vid det namnet, lös kollisionen istället för att ersätta en annan tjänsts aktiva väljare.
Publicera den avsedda policyn, inte ett exempel
En SPF uppdatering behöver en granskning av alla legitima avsändare och DNS-uppslagsberoenden. Bevara nödvändiga behörigheter i en giltig policy på den relevanta kuvertdomänen. En DMARC uppdatering kräver ett medvetet policybeslut för den synliga From-domänen och dess tillämpliga underdomäner. Att lägga till en leverantör är inte en anledning att lägga till ytterligare en DMARC policy hos en ägare där en redan finns.
Kopiera inte ett exempel på rapporteringsadress eller peka rapporter till en tredje part utan godkännande. Ersätt inte en påtvingad DMARC policy med övervakning enbart för att en onboarding-skärmdump visas p=none. Bestäm om den nya avsändaren har en anpassad sökväg som stöds innan du ändrar domänomfattande skydd.
Om en leverantör begär poster under en separat delegerad underordnad zon, publicera dem i den zon som faktiskt har behörighet för det barnet. Ett tilltalande inlägg i den överordnade editorn åsidosätter inte en delegering. Lös DNS ägargränsen innan du sparar.
Verifiera på två tekniska lager
Fråga varje auktoritativ server efter den fullständiga avsedda ägaren och posttypen. Bevara svaren och jämför det logiska TXT innehållet, inte bara hur citat ser ut i ett verktyg. Kontrollera hela nyckeln, väljaretiketten, eventuella aliasmål och gränserna för rekorduppsättningar. Först när auktoritativa svar är korrekta bör du undersöka cachade rekursiva svar. En leverantörs breda spridningsuppskattning är inte ett substitut för att diagnostisera ett felaktigt ägarnamn.
Aktivera eller validera sedan sändningstjänsten med sitt eget arbetsflöde och skicka ett kontrollerat meddelande. Spela in de synliga From, kuvertidentiteten, varje DKIM d= och s=, och betrodda mottagare. SPF autentiserar kuvertidentiteten; DKIM verifierar en signeringsidentitet. DMARC behöver en genomfartsväg som är anpassad till den synliga From under det tillämpliga läget.
Syntetiskt felfall: Gandi publicerar rätt nyckel på rotation1._domainkey.example.com , men meddelandet använder s=rotation2 och d=example.com. Den publicerade rotation1-posten kan inte validera den signaturen. Lösningen är att stämma av avsändarens väljare med dess nödvändiga publicering, inte att försvaga DMARC eller lägga till en icke-relaterad SPF inkludering.
Återställ och stäng ändringen
Om publiceringen bryter en rutt, identifiera den exakta ändrade ägaren och återställ den godkända tidigare rekorduppsättningen. Återställ inte en hel delad zon utan att jämföra mellanliggande ändringar och berörda domäner. Behåll tidigare nycklar så länge som rotationsplanen för signering kräver; DNS radering och signeringsaktivering måste samordnas.
Stäng arbetet endast när den aktiva zonen, avsedda DNS svar, sändningsaktivering och observerad meddelandeautentisering överensstämmer. Detta är en dokumentär guide med ett syntetiskt felfodral. Inget Gandi-konto, auktoritativ DNS fråga eller levererat meddelande användes som livebevis. Administratören måste samla in dessa observationer innan han godkänner slutförandet av produktionen.
Stoppa en återställning av delad zon från att ångra orelaterat arbete
Skriftligt fall GAN-01 antar att example.com och example.net delar en zon. En senare godkänd webbplatspost lades till efter en säkerhetskopia, medan den nya väljaren på example.com är fel. Att återställa hela den äldre säkerhetskopian skulle också ta bort den webbplatsändringen över det länkade omfånget. Jämför aktuella poster, identifiera den godkända reparationen endast för väljare och bekräfta båda domänägarna innan du använder den. Ingen zon, säkerhetskopiering eller återställning inspekterades eller utfördes här.
Bevara verkställighetsgränsen
RFC 9989 Avsnitt 7.4 kräver giltig DKIM , inte enbart SPF , för domänpublicering p=reject, och varnar för interoperabilitet med indirekt e-post och e-postlistor. Ett enda framgångsrikt test för direktmeddelanden är inte ett bevis på att varje legitim väg är redo för en starkare politik. Behåll befintligt godkänt skydd medan du diagnostiserar det faktiska gapet; varje policyändring behöver ett eget beslut.