Listă de verificare pentru propriul dumneavoastră domeniu

Modulul 8: Securitate și rezolvarea problemelor · Timp de citire: 10 minute

Obiectiv de învățare: După această lecție, veți putea verifica propriul domeniu de sus în jos cu ajutorul unei liste fixe de verificare și veți ști de la ce punct să porniți atunci când site-ul web sau e-mailul nu funcționează.

Concepte-cheie: înregistrare, servere de nume, A/AAAA, www, certificat, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, copie de rezervă

De ce de sus în jos?

DNS este un lanț: fără înregistrare nu există servere de nume, fără servere de nume funcționale nu există înregistrări, fără înregistrare A nu există site web. O greșeală în partea de sus provoacă tot felul de probleme mai jos. De aceea parcurgeți întotdeauna lista în această ordine și vă opriți la primul punct care nu este corect. Rezolvați-l mai întâi, apoi reluați verificarea de la început.

În listă apare example.com: înlocuiți-l cu propriul dumneavoastră domeniu. La fiecare punct există o comandă dig; funcționează la fel de bine și cu un instrument dig online (lecția 8.3). O verificare a sănătății domeniului, cum este cea oferită de furnizorul dumneavoastră de hosting sau instrumentul gratuit Sănătatea domeniului, acoperă o mare parte din această listă dintr-o singură dată, dar este util să știți ce se află în spatele ei.

Partea A: fundamentul

1. Este domeniul înregistrat și activ?

• Cum: o căutare whois sau RDAP (de exemplu prin intermediul site-ului registrului, cum ar fi sidn.nl pentru .nl), sau whois example.com.
• Corect: stare activă (la .nl: „active”), nu „în quarantenă”, nu expirat. Deținătorul domeniului este corect.

2. Ce servere de nume are domeniul și sunt cel puțin două?

• Cum: dig +short NS example.com, iar pentru ce transmite registrul dig +trace example.com.
• Corect: cel puțin două servere de nume, de la furnizorul la care vă administrați DNS-ul.

3. Răspund toate serverele de nume și oferă același răspuns?

• Cum: dig +short SOA example.com @<server de nume> pentru fiecare server de nume.
• Corect: fiecare server de nume răspunde (fără time-out, fără REFUSED) și numărul de serie (al treilea câmp din SOA) este identic pretutindeni. Un server de nume care nu răspunde pentru domeniul dumneavoastră se numește lame.

4. Este DNSSEC corect (dacă este activat)?

• Cum: dig +short DS example.com și dig example.com A @1.1.1.1 (fiți atent la status și la flagul ad); în caz de dubiu, folosiți DNSViz.
• Corect: fie nu există DS (DNSSEC dezactivat, ceea ce funcționează pur și simplu), fie există un DS cu status NOERROR și flagul ad. Greșit: SERVFAIL.

Partea B: site-ul web

5. Indică numele de domeniu către serverul corect?

• Cum: dig +short A example.com și dig +short AAAA example.com.
• Corect: adresa IPv4 (și, dacă aveți una, adresa IPv6) a serverului pe care se află site-ul dumneavoastră web. Nicio înregistrare AAAA veche de la un server anterior.

6. Funcționează www?

• Cum: dig +short A www.example.com (sau CNAME).
• Corect: o înregistrare A, o înregistrare AAAA sau un CNAME care ajunge la același site. Dacă lipsește www, cei care tastează www vor primi un mesaj de eroare.

7. Are site-ul un certificat valid pentru ambele nume?

• Cum: deschideți https://example.com și https://www.example.com și faceți clic pe lacăt, sau folosiți testul de site al internet.nl.
• Corect: nicio avertizare, certificatul este valabil cel puțin câteva săptămâni și este valabil pentru ambele nume.

8. Este autorizat emitentul certificatului dumneavoastră să emită certificate (CAA)?

• Cum: dig +short CAA example.com.
• Corect: nicio înregistrare CAA (oricine are voie), sau o înregistrare CAA cu issue pentru furnizorul care emite certificatul dumneavoastră. Greșit: o înregistrare CAA care nu menționează emitentul dumneavoastră.

Partea C: e-mailul

9. Unde ajunge e-mailul dumneavoastră?

• Cum: dig +short MX example.com, apoi dig +short A <server de e-mail> pentru primul nume.
• Corect: înregistrările MX ale furnizorului dumneavoastră actual de e-mail și nicio înregistrare MX rămasă de la un furnizor anterior. Fiecare nume de server de e-mail are o înregistrare A sau AAAA. Dacă nu folosiți domeniul pentru e-mail, un MX nul (0 .) poate clarifica faptul că nu sosește niciun e-mail.

10. Există exact o singură înregistrare SPF corectă?

• Cum: dig +short TXT example.com și verificați liniile care încep cu v=spf1; o verificare de e-mail numără căutările.
• Corect: exact o singură înregistrare SPF, cu toate serviciile care trimit e-mailuri în numele domeniului dumneavoastră, terminând cu ~all sau -all (niciodată +all), și nu mai mult de zece căutări DNS.

11. Este DKIM configurat pentru fiecare serviciu care trimite e-mailuri?

• Cum: dig +short TXT <selector>._domainkey.example.com (sau CNAME) pentru fiecare selector pe care îl cunoașteți, precum cel al furnizorului dumneavoastră de e-mail și cel al serviciului de newsletter. Selectorul se găsește în instrucțiunile serviciului sau în antetul DKIM-Signature: ... s=<selector> al unui e-mail trimis.
• Corect: fiecare înregistrare oferă o cheie (v=DKIM1; ... p=...) sau un CNAME către serviciu, iar un e-mail de test arată PASS la DKIM.

12. Există o înregistrare DMARC?

• Cum: dig +short TXT _dmarc.example.com.
• Corect: exact o singură înregistrare care începe cu v=DMARC1 și are o politică validă (p=none, p=quarantine sau p=reject). Ați început cu p=none? Planificați atunci înăsprirea politicii.

13. Ajunge un e-mail real corect la destinatar?

• Cum: trimiteți un e-mail către mail-tester.com sau către o adresă Gmail și verificați „Afișare original”.
• Corect: SPF, DKIM și DMARC pe PASS.

Partea D: întreținere

14. Sunt TTL-urile stabilite judicios?

• Cum: dig example.com A @<serverul dumneavoastră de nume> și verificați TTL-ul.
• Corect: în mod normal 3600 până la 86400 (o oră până la o zi). Doar în jurul unei modificări planificate, temporar 300. Dacă uitați să îl resetați după o mutare, nu este grav, dar generează trafic inutil de mare.

15. Aveți o copie de rezervă a zonei dumneavoastră?

• Cum: butonul de copie de rezervă sau export al panoului dumneavoastră DNS, sau dig pentru fiecare înregistrare dacă nu aveți acest buton.
• Corect: o copie recentă a tuturor înregistrărilor, păstrată în afara panoului.

16. Nu există înregistrări uitate?

• Cum: parcurgeți toate înregistrările din panoul dumneavoastră.
• Corect: nicio înregistrare de verificare sau subdomeniu al unor servicii pe care nu le mai folosiți. Un CNAME către un serviciu reziliat poate fi „preluat” de altcineva (subdomain takeover): ștergeți-l.

De unde porniți în cazul unei reclamații?

În practică: cum arată într-un panou

O verificare a sănătății domeniului realizează automat o mare parte din această listă. În Contul meu WebOké, aceasta se găsește pe pagina domeniului ca un card Sănătatea Domeniului / E-mailului, cu verde, portocaliu și roșu pentru fiecare punct; versiunea publică funcționează pentru orice domeniu. Alți furnizori de hosting, registrari și furnizori DNS au verificări similare, iar internet.nl testează independent o mare parte din părțile B și C. Folosiți o astfel de verificare ca punct de plecare, iar această listă pentru a înțelege ce înseamnă culoarea roșie.

Rezumat

• Parcurgeți lista de sus în jos și opriți-vă la primul punct care nu este corect.
• Fundament: înregistrare, servere de nume, răspunsuri identice, DNSSEC.
• Site web: A/AAAA, www, certificat, CAA.
• E-mail: MX cu adresă, un singur SPF, DKIM per serviciu, un singur DMARC, e-mail de test.
• Întreținere: TTL, copie de rezervă, curățare.

Quiz

Exercițiu

Exercițiul Z8.5: Exercițiu final: propriul dumneavoastră domeniu. Verificați-vă propriul domeniu cu ajutorul acestei liste de verificare. Introduceți numele domeniului dumneavoastră în mediul cursului și răspundeți pentru fiecare punct din părțile A, B și C ce ați găsit (de exemplu serverele dumneavoastră de nume, MX-ul dumneavoastră, înregistrarea SPF și politica DMARC). Programul efectuează aceleași verificări și compară rezultatele. Dacă ceva nu este corect în domeniul dumneavoastră, primiți o explicație cu o trimitere la lecția respectivă. Dacă nu aveți propriul domeniu, folosiți sidn.nl.

Lectură suplimentară

Aceste articole descriu verificările la WebOké; lista de verificare funcționează pentru orice domeniu.

• Manual WebOké 5.17: Starea domeniului și a e-mailului: verificare și remediere
• Site-ul web sau e-mailul nu funcționează după o mutare sau o modificare DNS: verificați-vă domeniul
• Manual WebOké 5.7: Resetarea DNS-ului și crearea unui backup DNS
• Crearea și restaurarea unui backup al DNS-ului
• Instrument gratuit Sănătatea Domeniului: https://www.weboke.ro/starea-domeniului
• Verificare gratuită de e-mail: https://www.weboke.ro/verificare-email