[ DNS 提供商指南 ]

在 IONOS 中发布身份验证DNS

围绕真正的权威区域、确切的记录所有者和独立的邮件证据规划 IONOS DNS更改。提供记录的编辑器工作流程;委托的现场演练仍然出色。

由EmailAuth研究团队提供 · 6 分钟阅读

[ 要点 ]

  • 将DNS主机、注册商和发送服务分开。
  • 将相对主机标签转换为明确的预期所有者名称。
  • 在更改依赖项之前,保留一项SPF策略并检查CNAME或委派冲突。
  • 分别证明权威发布和接收消息对齐。
在此页面上

从权威区开始

IONOS 注册、IONOS DNS托管和 IONOS 电子邮件是不同的职责。本指南涉及通过 IONOS 域控制面板发布身份验证记录,而不是配置 IONOS 邮箱或授权每个 IONOS 发送服务。官方文档允许外部名称服务器;输入到非活动 IONOS 区域的记录不会成为互联网的答案。在准备任何编辑之前建立委派区域和负责的管理员。 IONOS 外部名称服务器

对于每个请求的更改,记录完整的所有者名称、记录类型、现值、建议值、发送服务和批准所有者。获得 DKIM 来自实际发件人帐户特定说明的材料。 DNS主机发布公共配置;它无法提供其他服务的签名密钥或证明该服务对消息进行签名。将私钥保留在DNS更改请求之外。 DKIM密钥检索

输入值之前翻译名称

IONOS 将TXT路径记录为域的“操作”菜单、 DNS 、“添加记录”,然后是TXT 。该形式将主机名、值和可选的 TTL 分开。现有条目具有编辑记录操作。其通用TXT页面将 @ 描述为通配符,但该措辞不应成为身份验证设计假设。区域起源缩写并不承诺向每个后代发布策略。验证最终的所有者,而不是仅仅依赖符号。 IONOS TXT编辑器 DNS主文件符号

专注的 DMARC 说明更精确:主机名_dmarc在所选域下创建_dmarc 。在虚构的示例中,选择example.com并输入_dmarc应寻址_dmarc.example.com 。这是一个提议的期望,而不是捕获的 IONOS 结果。请勿输入两次域名后缀。对于嵌套所有者,保留预期的完全限定名称,并要求在接受之前进行已发布的答案比较。 IONOS DMARC出版

保留记录边界和保单所有权

现有TXT集合可以包含不相关的验证令牌。选择相关的认证策略,而不是每一个 TXT记录 在那个主人那里。 SPF 允许一项选定的SPF策略;添加第二个候选者并不是其他发件人获得许可的方式。任何整合都需要发送者清单和 DNS 查询术语的评估,包括通过包含达到的依赖关系。不要在整理文本的同时默默扩大授权。 SPF记录选择和限制

一条TXT资源记录可以包含多个字符串。对于SPF ,这些字符串连接在一起,不插入空格。一条记录中的多个字符串不是多个单独发布的 SPF记录。审查后的 IONOS 指令并未建立所有长值拆分、转义或引用行为。将这些编辑器详细信息视为验收检查:将权威数据和记录边界与批准的完整值进行比较。不要制造成功的长密钥实验。 SPF多串 TXT数据格式

区分别名和委派权限

对于发件人提供的DKIM CNAME,IONOS 记录子域DNS路径、主机名字段和表示为完全限定主机名的目标点,无需 Web URL 方案。一个 选择器 别名不是重定向网站或更改域的邮件路由的指令。与发送服务所有者确认确切的选择器和目的地。 IONOS CNAME工作流程

当新记录与活动服务冲突时,IONOS 会发出警告。出现此类警告时请停止并在批准替换之前确定依赖性。普通TXT和CNAME数据不能共享同一个别名所有者。另外,提供商通过DNS编辑器支持子域 NS 记录;这委托了子树的责任,并且比发布一个关键别名具有更广泛的影响。不要将委派视为无法解释的冲突的解决方法。 IONOS 冲突 IONOS 子域委托

独立验证发布和邮寄

提议的接受顺序从对每个确切所有者和类型、记录服务器、时间、响应代码、答案和相关委托的权威前后查询开始。然后比较递归观察并调查任何差异。正缓存和缓存不存在是导致答案过时的不同原因。负缓存在其初始生命周期中使用 SOA TTL 和 SOA MINIMUM 中较小的一个,而不是单独使用 MINIMUM。编辑者保存的状态和一小时的文档估计并不是通用的DNS收敛保证。 DNS缓存 负缓存生命周期

接下来,授权操作员应执行预期的发送工作流程并保留收到的消息。将其可见的发件人域、 SMTP信封身份、 DKIM签名域和选择器与可信接收者身份验证结果进行比较。 RFC 9989 通过对齐的SPF或DKIM路径允许DMARC成功;仅仅找到两条DNS记录就证明这两条路径都不是。政策要求治疗,但不保证交付或报告。 RFC 9990 单独指定汇总报告。 DMARC对齐 汇总报告 认证结果信任

让恢复范围小于事件发生范围

在批准变更之前,保留以前受影响的记录以及每项重要的原因。 IONOS区域备份和恢复需要DNS Pro;恢复会覆盖现有区域数据。因此,可用备份不允许回滚不相关的更改。让所有者选择目标恢复或经过审查的整个区域恢复,然后重复发布和消息检查。该包不执行任何操作。 IONOS 备份范围

发表前需要提供证据

确切的目录要求是:当前的 IONOS 发布演练,包含权威的前后查询和独立验证的消息。

该要求仍然开放。公共指令于 2026 年 11 月 9 日进行了审核,没有帐户访问权限、实时DNS查询、更改的记录或收到的消息。当前的租户标签、长 TXT 处理、实际授权、发件人适用性、技术审查、生产路线检查、目视验收和所有者批准仍然需要证据。虚构的名称示例和建议的验证序列是准备工作,而不是执行的演练。

[ 外卖 ]

仅当预期的权威数据和实际发送身份与批准的配置一致时才接受更改。

[ 按角色 ]

这对您意味着什么

选择您的角色以执行后续实际步骤。

DNS管理员

保护区域边界

在错误的区域中成功保存仍然是无效的更改。管理员拥有权威的放置和对相邻记录的影响。

后续步骤

  1. 写下完整的预期所有者并在每个建议的编辑器条目旁边键入。
  2. 在解决CNAME冲突或考虑委派之前记录当前的依赖关系。
  3. 执行批准的测试时,保留完整的权威前后证据。

电子邮件服务所有者

提供身份,而不是通用记录

发件人决定其信封和签名行为。 DNS管理员不必推断租户选择器或假设记录激活签名。

后续步骤

  1. 提供当前帐户特定的公共配置和预期的发送工作流程。
  2. 定义可见的发件人、预期信封和签名身份以供接受。
  3. 安排授权受控消息并查看可信接收者结果。

变更审批人

定义有界恢复

当未经依赖性审查而替换策略、委派或整个区域时,身份验证编辑可能会中断不相关的邮件。

后续步骤

  1. 在执行前批准受影响的名称、服务和回滚范围。
  2. 检查DNS Pro 恢复是否会覆盖较新的不相关记录。
  3. 在委托演练、技术审查和发布批准完成之前,保持发布阻止状态。

[ 常见问题解答 ]

常见问题

IONOS注册是否证明该编辑器具有权威性?

不需要。注册可以与外部名称服务器共存。在决定在哪里发布之前,请遵循确切区域的授权;不要仅仅为了使编辑可见而切换名称服务器。

我应该将_dmarc.example.com粘贴到主机名中吗?

专用 IONOS DMARC过程为所选域指定相对标签_dmarc 。单独保留预期的完整所有者,并验证发布的名称没有重复的后缀。

@make SPF是否自动应用于每个子域?

不。将 @ 视为区域起源符号,而不是通配符授权。 SPF是针对实际使用中的身份进行评估的;父策略不会自动为每个子域提供自己的SPF策略。

对现有的两项SPF政策的安全应对措施是什么?

停止提议的添加,并要求负责的发件人所有者将授权调整为一项有效的策略。保留不相关的TXT标记并评估包含依赖性,而不是简单地连接两个完整记录。

IONOS 可以保留发件人特定的DKIM CNAME吗?

其公共指令支持子域的CNAME发布。发送提供商必须提供适用的选择器和目的地。检查该别名所有者处是否有冲突的数据,并保留其他选择器。

长TXT密钥应该如何检查?

将完整的批准公钥与权威TXT记录进行比较,包括字符串串联和记录边界。这项研究没有测试 IONOS 的分裂、转义或引用行为,因此这些细节仍然是真正的演练门。

一个小时足以宣告部署成功吗?

经过的时间并不是验收的证据。独立的权威发布、递归缓存和消息认证。先前缓存的阳性数据或不存在可能解释不同的观察结果;检查实际响应和 TTL 上下文。

DNS Pro 备份能否安全地仅撤消我的身份验证编辑?

区域恢复范围更广:IONOS 表示它会覆盖现有的区域数据。检查权利、备份内容和干预更改。有针对性的、经批准的记录修复可以避免撤销不相关的工作;这两个选项都没有在这里执行。

[ 来源 ]

来源

  1. RFC 8601 :用于指示消息认证状态的消息头字段
  2. IONOS:备份和恢复DNS区域
  3. IONOS:为子域配置CNAME记录
  4. IONOS:避免DNS冲突
  5. RFC 6376 :域名密钥识别邮件签名
  6. RFC 9989 :基于域的消息身份验证、报告和一致性
  7. RFC 1034 :域名 - 概念和设施
  8. RFC 1035 :域名 - 实施和规范
  9. IONOS:为域配置DMARC记录
  10. IONOS:为域使用您自己的名称服务器
  11. RFC 2308 : DNS查询的负缓存
  12. RFC 9990 : DMARC聚合报告
  13. RFC 7208 :发件人策略框架
  14. IONOS:添加、更改或删除子域的 NS 记录
  15. IONOS:管理TXT记录

[ 词汇表 ]

词汇表

权威专区
DNS命名空间的一部分由负责的权威数据提供服务。在为身份验证所有者选择编辑器之前先识别它。
业主姓名
记录所属的DNS名称,例如_dmarc.example.com 。它不同于CNAME目标或TXT值。
TXT字符串
TXT记录数据的一种长度受限的组成部分。多个组件可以属于一个资源记录,并且需要特定于协议的解释。
选择器别名
DKIM选择器所有者的CNAME ,将解析指向发件人管理的关键位置;它不是全域 NS 委派。
负缓存
缓存的DNS证据表明名称或请求的数据不存在。当解析器尚未看到新创建的身份验证记录时,其生命周期是相关的。

企业出处

为什么顶级金融机构和政府 退役了他们的电子邮件安全仪表板。

传统的电子邮件身份验证平台会向您出售仪表板并要求您的工程师来完成这项工作。在高风险环境中,手动监督意味着延迟执行、配置漂移和不受监控的影子域。

EmailAuth是代理电子邮件来源平台。 我们的代理人强制执行 p=reject,保持第三方发件人一致并将您的域名移至完整状态 RFC 9989 合规性、新的DMARC标准,以及人机交互审核能力。

政府 大型企业 一级金融机构

SaaS · 专用租赁 · 气隙本地部署 · BYOK 加密

知识库