Gandi'nin aktif bölgeye ev sahipliği yaptığını doğrulayın
Gandi'de alan adı kaydı tek başına Gandi'nin kendi yetkili DNS hizmet ettiğini kanıtlamaz. Yetki verilenleri kontrol edin ad sunucuları öncelikle alan adı için. Gandi, harici olarak barındırılan ad sunucularının harici sağlayıcı aracılığıyla yönetilmesi gerektiğini söylüyor. Bu kılavuz, başka bir DNS ana bilgisayarından geçişi değil, belgelenen Gandi LiveDNS düzenleyicisini kapsar.
Posta hizmeti yapılandırmasını DNS yayımlamasından ayrı tutun. Gönderen sağlayıcınız desteklenen seçici, anahtar veya CNAME hedef ve zarf alanı gereksinimleri. Gandi bu kayıtları yayınlıyor; bir yaratmak DKIM TXT kaydı ilgisiz bir posta sunucusunun imzalamaya başlamasına neden olmaz. Evrensel bir Gandi çıkarımına varmayın SPF bir etki alanı için yalnızca DNS orada barındırılması nedeniyle dahil edilmesi.
DNS yöneticisini, gönderen hizmetin sahibini ve alan adı politikasını onaylama yetkisine sahip kişiyi tanımlayın. Etkilenen tüm adlar için mevcut kayıt kümelerini kaydedin. Etki alanının paylaşılan bir bölgeye bağlı olup olmadığını kontrol edin: Bağlantılı bölgeye dönüşen Gandi belgeleri, bağlantılı her etki alanını etkiler. Görünüşte yerel bir kimlik doğrulama düzenlemesi bu nedenle daha geniş bir etkiye sahip olabilir.
Sınırlandırılmış düzenleyici değişikliği kullanma
Belgelenen rota Etki Alanı, seçilen etki alanı ve ardından DNS Kayıtlarıdır. Tablo modu, tek tek girişlerin eklenmesini veya düzenlenmesini destekler; metin modu tüm bölgeyi düzenler. Küçük bir kimlik doğrulama değişikliği için, bireysel kayıtların onaylanan istekle karşılaştırılması daha kolaydır. Metin modunu yalnızca düzenleyici anlaşıldığında ve önerilen farkın tamamı gözden geçirildiğinde kullanın.
Gandi LiveDNS, Yedekleme kaydetme ve Geri Yükleme olanağı sunar. Değişiklikten önce bir yedekleme alın, ancak daha sonra geri yüklemenin zararsız olduğunu düşünmeyin: tam bir geri yükleme, o anlık görüntüden bu yana yapılan ilgisiz düzenlemeleri tersine çevirebilir. Etkilenen kayıtlar için de hedefli bir kurtarma planı kaydedin. Paylaşılan bir bölge söz konusuysa diğer alan adı sahiplerini bu plana dahil edin.
Tam amaçlanan sahibi, düzenleyici etiketini, türü ve değeri içeren bir yayın çalışma sayfası oluşturun. Sentetik bir alan adı example.com için zirve, example.com . DMARC sahibi _dmarc.example.com ve DKIM sahibi rotation1._domainkey.example.com olabilir. Bu örnek etiketler sağlayıcı tarafından oluşturulan ayarlar değildir. Gönderme hizmetindeki gerçek seçiciyi ve etki alanını kullanın.
TXT sınırlarını ve adlarını koruyun
Gandi'nin TXT belgeleri, çıplak alan adı için @'yi ve alt alan adı için göreceli bir etiketi kullanır. Metin bölgesi örnekleri, uzun TXT verilerini, her biri 255 karakterden uzun olmayan, tek bir kayıt içinde birden fazla alıntılanan dize olarak temsil eder. Bu, birden fazla bağımsız TXT kaydı oluşturmaktan farklıdır.
Bu ayrım kimlik doğrulama için önemlidir. Bir SPF ilkesi, tek bir TXT kaynak kaydındaki birden fazla karakter dizesinden oluşabilir, ancak birden çok aday SPF kayıtları aynı sahibin SPF hatasına neden olması. DKIM anahtar materyalinin de eksiksiz kalması gerekir. Metin alanı sınırını aşmak için ilgisiz birkaç anahtar veya politika oluşturmayın ve düzenleyicinin bunları nasıl serileştirdiğini anlamadan bir anahtara görsel satır sonları eklemeyin.
SPF için TXT kayıt türünü kullanın. DKIM için TXT veya CNAME kişisel tercihinize göre değil, gönderen sağlayıcının talimatlarına göre kullanın. Seçicideki CNAME genel anahtar metni için bir kapsayıcı değil, başka bir alan adının takma adıdır. İstenen bir CNAME , bu addaki mevcut verilerle çakışırsa başka bir hizmetin etkin seçicisini değiştirmek yerine çakışmayı çözümleyin.
Örnek değil amaçlanan politikayı yayınlayın
Bir SPF güncellemesi, tüm yasal gönderenlerin ve DNS arama bağımlılıklarının incelenmesini gerektirir. Gerekli yetkileri ilgili zarf etki alanında geçerli tek bir politikada saklayın. DMARC güncellemesi, görünür From alanı ve onun geçerli alt alanları için kasıtlı bir politika kararına ihtiyaç duyar. Sağlayıcı eklemek, halihazırda mevcut olan bir sahipe başka bir DMARC politikası eklemek için bir neden değildir.
Örnek raporlama adresini veya nokta raporlarını onay almadan üçüncü bir tarafa kopyalamayın. İlk katılım ekran görüntüsü göründüğü için zorunlu kılınan DMARC politikasını yalnızca izlemeyle değiştirmeyin p=none. Etki alanı çapında korumayı değiştirmeden önce yeni gönderenin desteklenen hizalanmış bir yola sahip olup olmadığını belirleyin.
Bir sağlayıcı, ayrı olarak yetkilendirilmiş bir alt bölgenin altındaki kayıtları talep ederse, bunları o alt bölge için fiilen yetkiye sahip olan bölgede yayınlayın. Ana düzenleyicide çekici görünen bir giriş, bir yetkilendirmeyi geçersiz kılmaz. Kaydetmeden önce DNS sahipliği sınırını çözümleyin.
İki teknik katmanda doğrulama
Amaçlanan sahibin ve kayıt türünün tamamı için her yetkili sunucuyu sorgulayın. Yanıtları koruyun ve yalnızca alıntıların bir araçta nasıl göründüğünü değil, mantıksal TXT içeriğini de karşılaştırın. Anahtarın tamamını, seçici etiketini, takma ad hedefini ve kayıt kümesi sınırlarını kontrol edin. Önbelleğe alınmış özyinelemeli yanıtları yalnızca yetkili yanıtlar doğru olduğunda araştırmalısınız. Bir sağlayıcının geniş yayılma tahmini, yanlış bir sahip adının teşhis edilmesinin yerine geçmez.
Ardından gönderen hizmeti kendi iş akışını kullanarak etkinleştirin veya doğrulayın ve kontrollü bir mesaj gönderin. Görünür Kimden, zarf kimliğini, her DKIM d= ve s=, ve güvenilir alıcı sonuçlarını kaydedin. SPF zarf kimliğini doğrular; DKIM imza kimliğini doğrular. DMARC geçerli mod altında görünür Kimden ile hizalanmış bir geçiş yoluna ihtiyacı vardır.
Sentetik hata durumu: Gandi, rotation1._domainkey.example.com adresinde doğru anahtarı yayınlar, ancak mesaj s=rotation2 ve d=example.com. Yayınlanan rotasyon1 kaydı bu imzayı doğrulayamıyor. Çözüm, DMARC zayıflatmak veya ilgisiz bir SPF içeriği eklemek değil, gönderenin seçicisini gerekli yayınla uzlaştırmaktır.
Değişikliği kurtarın ve kapatın
Yayın bir rotayı bozarsa, değiştirilen sahibi tam olarak tanımlayın ve onaylanmış önceki kayıt setini geri yükleyin. Araya giren değişiklikleri ve etkilenen etki alanlarını karşılaştırmadan paylaşılan bölgenin tamamını geri yüklemeyin. İmza hizmeti rotasyon planı gerektirdiği sürece önceki anahtarları saklayın; DNS silme ve imzalama aktivasyonu koordine edilmelidir.
Çalışmayı yalnızca aktif bölge, amaçlanan DNS yanıtları, gönderme aktivasyonu ve gözlemlenen mesaj kimlik doğrulaması kabul edildiğinde kapatın. Bu sentetik bir arıza durumunu içeren belgesel bir kılavuzdur. Canlı kanıt olarak hiçbir Gandi hesabı, yetkili DNS sorgusu veya iletilen mesaj kullanılmadı. Yönetici, üretimin tamamlanmasını onaylamadan önce bu gözlemleri toplamalıdır.
Paylaşılan bölge geri alma işleminin ilgisiz işleri geri almasını durdurma
Yazılı vaka GAN-01 example.com ve example.net bir bölgeyi paylaştığını varsayar. Daha sonra onaylanan bir web sitesi kaydı yedeklemeden sonra eklendi, ancak example.com yeni seçici yanlış. Eski yedeklemenin tamamını geri yüklemek, bağlantılı kapsamdaki web sitesi değişikliğini de kaldıracaktır. Mevcut kayıtları karşılaştırın, yalnızca seçiciye yönelik onaylı onarımı belirleyin ve uygulamadan önce her iki alan adının sahibini onaylayın. Burada hiçbir bölge, yedekleme veya restorasyon incelenmedi veya yürütülmedi.
Uygulama sınırını koruyun
RFC 9989 Bölüm 7.4, alan adı yayınlamak için yalnızca SPF değil geçerli DKIM gerektirir p=rejectve dolaylı posta ve posta listesinin birlikte çalışabilirliği konusunda uyarıda bulunur. Tek bir başarılı doğrudan mesaj testi, her meşru yolun daha güçlü politikaya hazır olduğunun kanıtı değildir. Gerçek açığı teşhis ederken mevcut onaylı korumayı koruyun; Herhangi bir politika değişikliğinin kendi kararına ihtiyacı vardır.