Değişikliği hangi DNS hizmetinin kontrol ettiğini belirleyin
Kimlik doğrulama kaydının yayınlanması, etki alanının güven yapılandırmasında yapılan bir değişikliktir. Yetki verilen yetkili hizmeti, doğru DigitalOcean ekibini ve amaçlanan sahibin adını içeren tam bölgeyi tanımlayarak başlayın. Droplet üzerinde çalışan bir web sitesi, alan adının DNS nerede barındırıldığını belirlemez. Bir alan adını gösteren bir hesap, kamu delegasyonunun oraya işaret ettiğini de kanıtlamaz.
DigitalOcean'ın DNS sınırları DNS barındırma hizmetini etki alanı kaydından ayırın. Ayrıca minimum otuz saniyelik bir TTL kaydı belgeliyorlar ve ad sunucularının DNSSEC etkin alan adlarını desteklemediğini belirtiyorlar. Mevcut imzalı bir yetkilendirmeyi, bir e-posta kurulum alıştırması sırasında korumayı devre dışı bırakma daveti olarak değil, etki alanı sahibi için bir uyumluluk kararı olarak değerlendirin. Bu kılavuzda halihazırda onaylanmış, uyumlu bir DigitalOcean tarafından barındırılan bölge varsayılmaktadır; delegasyonu taşımaz veya değiştirmez DNSSEC.
Düzenleyiciyi açmadan önce istediğiniz değişikliği tanımlayın. Önerilen her kayıt için, onu sağlayan gönderen hizmeti, desteklediği iş akışını, beklenen sahibi, kayıt türünü ve onaylayanı tanımlayın. Belirli bir bağımlılığın incelenmesi gerekmediği sürece ilgisiz web, gelen posta ve doğrulama kayıtlarını değişikliğin dışında tutun.
Kullanılabilir bir başlangıç noktasını koruyun
Sağlayıcı, Ağ İletişimi, Etki Alanları ve etki alanının Diğer menüsü altında bir bölge indirme seçeneğini belgelemektedir. Onun bölge dışa aktarma talimatları Bölgenin kayıtlarını içeren düz metinli bir dosyayı tanımlar. Önerilen fark, kayıt sahipliği ve onaylanmış restorasyon kriterleriyle birlikte yetkili bir ihracatı, kurtarma planına bir girdi olarak kullanın. Dışa aktarma, bir geri yükleme düğmesinin mevcut olduğunun veya daha sonraki değişiklikleri etkilemeden önceki bir durumun kurtarılabileceğinin kanıtı değildir.
Önerilen kanıt belgesinde, hedeflenen sahibin adını kendi sütununa verin. Kayıt türü ve değeri ayrı sütunlara aittir. Bu, yaygın bir inceleme hatasını önler: Tam sahip, göreli etiket ve metin değeri değiştirilebilir dizeler olarak ele alındığından, yanlış DNS adına aksi takdirde doğru olan bir politika eklenir.
Belgelenen düzenleyici modelini kullanın
Mevcut kayıt yönetimi kılavuzu operatörleri Ağ İletişimi, Etki Alanları ve seçilen etki alanı aracılığıyla yönlendirir, ardından Oluştur bir kayıt. TXT için, Ana Bilgisayar Adı alanı apeks işaretleyicisini @ veya bir alt alan önekini kabul ederken, TXT Değeri metni tutar. Açıklıyor SPF ve doğrudan DKIM TXT aracılığıyla anahtar yayın ve alt alan adı delegasyonu için NS kayıtlarını destekler.
Talep edilen tam nitelikli bir sahibi kasıtlı olarak o bölgenin giriş modeline çevirin. Kurgusal bir example.com bölgesi için göreceli DMARC _dmarc etiketi _dmarc.example.com temsil eder. Bu, önerilen bir politika değeri veya herhangi bir kaydın kaydedildiğine dair bir iddia değil, ad yapımına ilişkin bir açıklamadır. Beklenen genel sahip, formun nasıl görüntülendiğinden bağımsız olarak kontrol edilmelidir.
Gönderim hizmetinin güncel, hesaba özel materyalini bir süre kullanın. DKIM seçici, genel anahtar veya yetkilendirilmiş hedef. DNS ana bilgisayarı gönderenin imzalama kimliğini seçmez. Hizmet gerektiriyorsa CNAME Doğrudan bir TXT anahtarı yerine bu ayrımı koruyun ve değiştirmeyi onaylamadan önce tam sahibi mevcut bağımlılıklar açısından inceleyin. Asla başka bir müşterinin kurulum ekran görüntüsünden eksik bir hedef çıkarımı yapmayın.
Kimlik doğrulama kayıtlarını mantıksal olarak ayrı tutun
RFC 7208 bölüm 3.2 ve 3.3 birden fazla adayı ayırt etmek SPF kayıtları bir kayıttaki birden fazla dizeden. Yeni bir hizmet için ikinci bir rakip SPF politikası eklemeyin. Bir gösterimde alıntı yapmak veya dizeyi bölmek tek başına size bir kaydın mı yoksa birkaç kaydın mı değerlendirileceğini söylemez. Döndürülen kayıt sınırlarını ve sonuçta ortaya çıkan birleştirilmiş değeri inceleyin.
DKIM için RFC 6376 bölüm 3.1 Anahtar aramayı seçiciye ve imzalama alanına bağlar. Yayın tek başına uygulamanın o anahtarı seçtiğini veya amaçlanan mesajı imzaladığını gösteremez. Gönderen yapılandırması ve genel DNS materyali aynı planlanan kimliğe atıfta bulunmalıdır.
DMARC SPF kaydının bulunduğu yere değil, ilgili _dmarc sahibine aittir. RFC 9989 bölümleri 4.1 ve 4.4 politikayı açıklayın ve hizalama ilişki. Yalnızca DNS sonucu, başarılı bir şekilde hizalanmış postanın kanıtı değildir ve ilgisiz bir etki alanı için geçiş kimlik doğrulama mekanizması yeterli değildir.
Yayın ve fiili kullanımın farklı sonuçlar olduğunu doğrulayın
Yetkili bir doğrulama planı, sunucu, zaman damgası, sahip, tür, TTL ve kayıt kümesinin tamamı dahil olmak üzere, onaylanmış düzenlemeden önce ve sonra yetkili yanıtları yakalamalıdır. Eksik bir yanıtı, zaman aşımından veya yanlış sunucuya gönderilen bir sorgudan ayırt edilebilir tutun. Yalnızca bir kontrol paneli ekran görüntüsünü başka bir kontrol paneli ekran görüntüsüyle karşılaştırmak, genel yayın adımını kaçırır.
Daha sonra, gerçek uygulama akışı yoluyla kontrollü bir mesaj elde edin ve güvenilir alıcı sonuçlarını koruyun. Görünür Alan adını, zarf kimliğini, DKIM imzalama alanını ve seçiciyi onaylanan yapılandırmayla karşılaştırın. Kimlik doğrulama ve hizalamayı teslimattan veya klasör yerleştirmeden ayrı olarak kaydedin. Başarılı bir DNS araması boş bir mesaj testi hücresini doldurmamalıdır.
Gözlemlenen sahip veya değer plandan farklıysa, daha fazla değişikliği duraklatın ve onaylanmış en küçük kurtarma eylemini belirleyin. Bir önbellek daha erken bir yanıtı koruyabilir, bu nedenle bir kurtarma gözlemi, anında küresel tutarlılık vaadinden ziyade zamanlamaya ve bağlama ihtiyaç duyar. Olay kaydını, giriş hatasını eski verilerden veya etkin olmayan gönderme yapılandırmasından ayırt edebilecek kadar spesifik tutun.
Kurgusal inceleme ve olağanüstü kanıtlar
Kurgusal bir incelemeci, example.com tepesinde geçerli görünen bir DMARC değeri içeren bir taslak alır. Gözden geçiren kişi, gönderimden önce sahip uyumsuzluğunu yakalar ve önerilen sahibi _dmarc olarak değiştirir. Çalışma sayfasında hala yetkili öncesi/sonrası yanıtları ve alınan mesaj yok. Bu bir makale incelemesidir, başarılı bir DigitalOcean çözümü değil.
Orijinal gerekliliğin tamamı hala açık: Yetkili önce/sonra sorguları ve bağımsız olarak doğrulanmış bir mesaj içeren güncel bir DigitalOcean yayınlama kılavuzu. Devreye alma kapısı şu şekildedir: Mevcut ürün kimliğini ve sağlayıcıya ait belgeleri doğrulayın; gerçek bir mesajı veya yayınlanmış kayıtları test edin. Desteklenmeyen özel alan özelliklerini dürüstçe belirtin. Dokümantasyon önerilen bu iş akışını desteklemektedir ancak kiracının uygulanabilirliği, orijinal testler, teknik KOBİ incelemesi, canlı görsel kontrol ve mal sahibinin yayın onayı henüz çözümlenmemiştir. Hiçbir DNS veya hesap işlemi gerçekleştirilmedi.