确认 Gandi 托管活动区域
Gandi 的域名注册本身并不表明 Gandi 为其权威DNS提供服务。检查委托人 名称服务器 首先对于域。 Gandi 表示，外部托管的域名服务器必须通过外部提供商进行管理。本指南涵盖已记录的 Gandi LiveDNS 编辑器，而不是从其他DNS主机的迁移。
将邮件服务配置与DNS发布分开。您的发送提供商提供其支持的 选择器、 键或 CNAME 目标和任何包络域要求。 Gandi 公布这些记录；创建一个 DKIM TXT记录 不会导致不相关的邮件服务器开始签名。不要推断一个普遍的 Gandi SPF 包含一个域仅仅是因为它的DNS托管在那里。
确定DNS管理员、发送服务所有者和有权批准域策略的人员。保存所有受影响名称的现有记录集。检查域是否链接到共享区域：Gandi 文档显示对链接区域的更改会影响每个链接域。因此，看似本地的身份验证编辑可能会产生更广泛的影响。
使用有界编辑器更改
记录的路由是域、选定的域，然后是DNS记录。表格模式支持添加或编辑单个条目；文本模式编辑整个区域。对于小的身份验证更改，单个记录更容易与批准的请求进行比较。仅当编辑器被理解并且整个建议的差异已被审查时才使用文本模式。
Gandi LiveDNS 提供保存备份和恢复功能。在更改之前进行备份，但不要认为稍后恢复它是无害的：完整恢复可以撤消自该快照以来所做的不相关编辑。还为受影响的记录记录有针对性的恢复计划。如果涉及共享区域，请将其他域所有者包括在该计划中。
创建包含完整的预期所有者、编辑标签、类型和值的出版物工作表。对于合成域example.com ，顶点是example.com ，其 DMARC 所有者是_dmarc.example.com ， DKIM所有者可能是rotation1._domainkey.example.com 。这些示例标签不是提供商生成的设置。使用发送服务中的实际选择器和域。
保留TXT边界和名称
Gandi 的TXT文档使用 @ 表示裸域，使用相对标签表示子域。其文本区域示例将长TXT数据表示为一条记录中的多个带引号的字符串，每个字符串不超过 255 个字符。这与创建多个独立的TXT记录不同。
这种区别对于身份验证很重要。一个SPF策略可以由单个TXT资源记录中的多个字符串组成，但多个候选策略 SPF记录 同一所有者会导致SPF错误。 DKIM密钥材料也必须保持完整。不要创建多个不相关的键或策略来超越文本字段限制，并且不要在不了解编辑器如何序列化它们的情况下将可视换行符插入到键中。
使用SPF的TXT记录类型。根据发送提供商的指示，而不是根据个人喜好，对DKIM使用TXT或CNAME 。选择器处的CNAME是另一个域名的别名，而不是公钥文本的容器。如果请求的CNAME与该名称的现有数据发生冲突，请解决冲突，而不是替换另一个服务的活动选择器。
发布预期的政策，而不是示例
SPF更新需要检查所有合法发件人和 DNS 查找依赖性。在相关信封域的一项有效策略中保留必要的授权。 DMARC更新需要针对可见的发件人域及其适用的子域做出深思熟虑的策略决策。添加提供程序并不是在已存在的所有者处添加另一个DMARC策略的理由。
未经批准，请勿将样本报告地址或点报告复制给第三方。请勿仅仅因为入门屏幕截图显示而用监控替换强制执行的DMARC策略 p=none。在更改域范围保护之前确定新发件人是否具有受支持的对齐路径。
如果提供者请求单独委派的子区域下的记录，请将它们发布到实际拥有该子区域权限的区域中。父编辑器中看起来有吸引力的条目不会覆盖委托。保存前解析DNS所有权边界。
两个技术层面验证
查询每个权威服务器以获取完整的预期所有者和记录类型。保留答案并比较逻辑TXT内容，而不仅仅是报价在工具中的外观。检查整个键、选择器标签、任何别名目标和记录集边界。只有当权威答案正确时，您才应该调查缓存的递归答案。提供商的广泛传播估计并不能替代诊断不正确的所有者名称。
然后使用其自己的工作流程激活或验证发送服务并发送受控消息。记录可见的发件人、信封身份、每个DKIM d= 和s=,以及受信任的接收者结果。 SPF验证信封身份； DKIM验证签名身份。 DMARC需要一条与适用模式下可见的 From 对齐的通过路径。
综合失败案例：Gandi 在rotation1._domainkey.example.com发布正确的密钥，但消息使用s=rotation2和d=example.com.已发布的rotation1记录无法验证该签名。补救措施是使发件人的选择器与其所需的发布保持一致，而不是削弱DMARC或添加不相关的SPF包含。
恢复并关闭更改
如果发布中断了路线，请确定确切的更改所有者并恢复批准的先前记录集。在未比较干预的更改和受影响的域的情况下，请勿恢复整个共享区域。只要签名服务轮换计划需要，就保留以前的密钥； DNS删除和签名激活必须协调一致。
仅当活动区域、预期DNS应答、发送激活和观察到的消息验证一致时才关闭工作。这是一本包含综合失败案例的纪录片指南。没有任何 Gandi 帐户、权威DNS查询或传递的消息被用作活生生的证据。管理员必须在批准生产完成之前收集这些观察结果。
阻止共享区域回滚撤消不相关的工作
书面案例 GAN-01 假设example.com和example.net共享一个区域。备份后添加了后来批准的网站记录，而example.com上的新选择器是错误的。恢复整个旧备份还将删除链接范围内的网站更改。比较当前记录，确定已批准的仅限选择器的修复，并在应用之前确认两个域所有者。此处未检查或执行任何区域、备份或恢复。
保留执行边界
RFC 9989 第 7.4 节要求有效的DKIM ，而不仅仅是SPF来进行域发布 p=reject，并对间接邮件和邮件列表互操作性发出警告。一次成功的直接消息测试并不能证明每条合法路线都已准备好采取更强有力的政策。保留现有批准的保护，同时诊断实际差距；任何政策变化都需要自己的决定。