Kontrolní seznam pro Vaši vlastní doménu

Modul 8: Bezpečnost a řešení problémů · Doba čtení: 10 min

Cíl lekce: Po této lekci zkontrolujete svou vlastní doménu odshora dolů podle pevného kontrolního seznamu a budete vědět, u kterého bodu začít, pokud web nebo pošta nefungují.

Klíčové pojmy: registrace, jmenné servery, A/AAAA, www, certifikát, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, záloha

Proč odshora dolů?

DNS je řetězec: bez registrace nejsou jmenné servery, bez fungujících jmenných serverů nejsou záznamy, bez záznamu A není web. Chyba nahoře způsobuje všemožné potíže níže. Proto procházejte seznam vždy v tomto pořadí a zastavte se u prvního bodu, který nesedí. Nejprve ho vyřešte a pak začněte znovu odshora.

V seznamu je uvedeno example.com: nahraďte to svou vlastní doménou. U každého bodu je uveden příkaz dig; lze použít i online dig (lekce 8.3). Kontrola zdraví domény, například od Vašeho hostingového poskytovatele nebo bezplatný nástroj Zdraví domény, projde velkou část tohoto seznamu najednou, ale je dobré vědět, co se za tím skrývá.

Část A: základ

1. Je doména registrovaná a aktivní?

• Jak: vyhledání whois nebo RDAP (například přes web registru, jako je sidn.nl pro .nl), nebo whois example.com.
• V pořádku: stav aktivní (u .nl: "active"), ne "v karanténě", ne expirovaná. Držitel domény souhlasí.

2. Jaké jmenné servery doména má, a je jich alespoň dvojice?

• Jak: dig +short NS example.com, a pro to, co předává registr, dig +trace example.com.
• V pořádku: alespoň dva jmenné servery, od poskytovatele, u kterého spravujete DNS.

3. Odpovídají všechny jmenné servery a dávají stejnou odpověď?

• Jak: dig +short SOA example.com @<jmenný server> pro každý jmenný server.
• V pořádku: každý jmenný server odpovídá (žádný timeout, žádné REFUSED) a sériové číslo (třetí pole SOA) je všude stejné. Jmenný server, který pro Vaši doménu neodpovídá, se nazývá lame.

4. Sedí DNSSEC (pokud je zapnutý)?

• Jak: dig +short DS example.com a dig example.com A @1.1.1.1 (sledujte stav a příznak ad); v případě pochybností DNSViz.
• V pořádku: buď žádný DS (DNSSEC vypnutý, to funguje bez problémů), nebo DS se stavem NOERROR a příznakem ad. Chyba: SERVFAIL.

Část B: web

5. Ukazuje doména na správný server?

• Jak: dig +short A example.com a dig +short AAAA example.com.
• V pořádku: IPv4 adresa (a pokud ji máte, i IPv6 adresa) serveru, kde je Váš web. Žádný starý záznam AAAA z předchozího serveru.

6. Funguje www?

• Jak: dig +short A www.example.com (nebo CNAME).
• V pořádku: záznam A, AAAA nebo CNAME, který vede na stejný web. Pokud www chybí, lidé, kteří www napíší, dostanou chybové hlášení.

7. Má web platný certifikát pro obě jména?

• Jak: otevřete https://example.com a https://www.example.com a klikněte na zámeček, nebo použijte test webu na internet.nl.
• V pořádku: žádné varování, certifikát je platný ještě alespoň pár týdnů a platí pro obě jména.

8. Smí Váš vydavatel certifikátu vydávat certifikáty (CAA)?

• Jak: dig +short CAA example.com.
• V pořádku: žádný záznam CAA (může kdokoli), nebo záznam CAA s issue pro poskytovatele, který vydává Váš certifikát. Chyba: CAA, který Vašeho vydavatele neuvádí.

Část C: e-mail

9. Kam přichází Vaše pošta?

• Jak: dig +short MX example.com, a následně dig +short A <mailserver> pro první jméno.
• V pořádku: záznamy MX Vašeho aktuálního poskytovatele pošty a žádný pozůstalý MX od starého poskytovatele. Každé jméno mailového serveru má záznam A nebo AAAA. Pokud doménu pro poštu nepoužíváte, null MX (0 .) může jasně ukázat, že pošta nepřichází.

10. Je tam přesně jeden správný záznam SPF?

• Jak: dig +short TXT example.com a sledujte řádky, které začínají v=spf1; e-mailová kontrola počítá vyhledávání.
• V pořádku: přesně jeden záznam SPF, se všemi službami, které posílají poštu jménem Vaší domény, končící na ~all nebo -all (nikdy +all), a ne více než deset vyhledávání DNS.

11. Je DKIM nastavený pro každou službu, která odesílá poštu?

• Jak: dig +short TXT <selektor>._domainkey.example.com (nebo CNAME) pro každý selektor, který znáte, jako je selektor Vašeho poskytovatele pošty a Vaší newsletterové služby. Selektor najdete v instrukcích dané služby nebo v hlavičce DKIM-Signature: ... s=<selektor> odeslané zprávy.
• V pořádku: každý záznam uvádí klíč (v=DKIM1; ... p=...) nebo CNAME na službu a testovací zpráva ukáže u DKIM výsledek PASS.

12. Existuje záznam DMARC?

• Jak: dig +short TXT _dmarc.example.com.
• V pořádku: přesně jeden záznam začínající v=DMARC1 s platnou politikou (p=none, p=quarantine nebo p=reject). Začali jste s p=none? Naplánujte si zpřísnění.

13. Dorazí skutečná zpráva v pořádku?

• Jak: pošlete zprávu na mail-tester.com nebo na adresu Gmail a podívejte se na "Zobrazit originál".
• V pořádku: SPF, DKIM i DMARC mají výsledek PASS.

Část D: údržba

14. Jsou TTL nastaveny rozumně?

• Jak: dig example.com A @<Váš jmenný server> a sledujte TTL.
• V pořádku: běžně 3600 až 86400 (hodina až den). Jen kolem plánované změny dočasně 300. Zapomenout vrátit hodnotu zpět po přesunu není vážná chyba, ale přináší zbytečně mnoho provozu.

15. Máte zálohu své zóny?

• Jak: tlačítko zálohy nebo exportu ve Vašem DNS panelu, nebo dig po jednotlivých záznamech, pokud ji nemáte.
• V pořádku: nedávná kopie všech záznamů, uložená mimo panel.

16. Nejsou tam žádné zapomenuté záznamy?

• Jak: projděte všechny záznamy ve Vašem panelu.
• V pořádku: žádné ověřovací záznamy ani subdomény služeb, které už nepoužíváte. CNAME směřující na zrušenou službu může někdo jiný "převzít" (subdomain takeover): odstraňte ho.

Kde začít při reklamaci?

V praxi: jak to vypadá v panelu

Kontrola zdraví domény provede velkou část tohoto seznamu automaticky. V Můj WebOké je k nalezení na stránce domény jako karta Zdraví domény / e-mailu, se zelenou, oranžovou a červenou barvou u každého bodu; veřejná verze funguje pro jakoukoli doménu. Jiní hostingoví poskytovatelé, registrátoři a poskytovatelé DNS mají podobné kontroly a internet.nl nezávisle testuje velkou část částí B a C. Takovou kontrolu použijte jako výchozí bod a tento seznam k pochopení toho, co je označeno červeně.

Shrnutí

• Projděte seznam odshora dolů a zastavte se u prvního bodu, který nesedí.
• Základ: registrace, jmenné servery, stejné odpovědi, DNSSEC.
• Web: A/AAAA, www, certifikát, CAA.
• Pošta: MX s adresou, jeden SPF, DKIM pro každou službu, jeden DMARC, testovací zpráva.
• Údržba: TTL, záloha, úklid.

Kvíz

Úkol

Úkol Z8.5: Závěrečný úkol: Vaše vlastní doména. Zkontrolujte svou vlastní doménu podle tohoto kontrolního seznamu. Zadejte svou doménu v prostředí kurzu a u každého bodu z části A, B a C odpovězte, co jste zjistili (například jmenné servery, MX, záznam SPF a politiku DMARC). Program provede stejné kontroly a porovná výsledky. Pokud ve Vaší doméně něco nesedí, dostanete vysvětlení s odkazem na příslušnou lekci. Pokud vlastní doménu nemáte, použijte sidn.nl.

Další čtení

Tyto články popisují kontroly u WebOké; kontrolní seznam funguje pro jakoukoli doménu.

• Příručka WebOké 5.17: Zdraví domény a e-mailu: kontrola a náprava
• Web nebo e-mail nefunguje po přesunu nebo změně DNS: zkontrolujte svou doménu
• Příručka WebOké 5.7: Obnovení DNS a vytvoření zálohy DNS
• Vytvoření a obnovení zálohy DNS
• Bezplatný nástroj Zdraví domény: https://www.weboke.cz/zdravi-domeny
• Bezplatná E-mailová kontrola: https://www.weboke.cz/kontrola-e-mailu