Tjekliste til dit eget domæne

Modul 8: Sikkerhed og fejlfinding · Læsetid: 10 minutter

Læringsmål: Efter denne lektion kan du tjekke dit eget domæne fra top til bund med en fast tjekliste, og du ved hvor du skal starte når hjemmesiden eller mailen ikke virker.

Nøglebegreber: registrering, navneservere, A/AAAA, www, certifikat, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, backup

Hvorfor fra top til bund?

DNS er en kæde: uden registrering ingen navneservere, uden fungerende navneservere ingen records, uden A-record ingen hjemmeside. En fejl øverst giver alle mulige klager nederst. Derfor gennemgår du altid listen i denne rækkefølge og stopper ved det første punkt der ikke stemmer. Løs det først, og begynd derefter forfra fra toppen.

I listen står der example.com: udskift det med dit eget domæne. Ved hvert punkt står der en dig-kommando; en online dig (lektion 8.3) kan også bruges. Et domænesundhedstjek, som fra din hostingudbyder eller det gratis Domænesundhed, klarer en stor del af denne liste på én gang, men det er godt at vide hvad der ligger bag.

Del A: fundamentet

1. Er domænet registreret og aktivt?

• Hvordan: et whois- eller RDAP-opslag (for eksempel via registrarens side, som sidn.nl for .nl), eller whois example.com.
• Godt: status aktiv (for .nl: "active"), ikke "i karantæne", ikke udløbet. Indehaveren stemmer.

2. Hvilke navneservere har domænet, og er der mindst to?

• Hvordan: dig +short NS example.com, og for hvad registry'en videregiver dig +trace example.com.
• Godt: mindst to navneservere, fra den udbyder hvor du administrerer dit DNS.

3. Svarer alle navneservere, og giver de det samme?

• Hvordan: dig +short SOA example.com @<navneserver> for hver navneserver.
• Godt: hver navneserver svarer (ingen timeout, ingen REFUSED) og serienummeret (tredje felt i SOA) er ens overalt. En navneserver der ikke svarer for dit domæne kaldes lame.

4. Stemmer DNSSEC (hvis det er slået til)?

• Hvordan: dig +short DS example.com og dig example.com A @1.1.1.1 (læg mærke til status og flaget ad); ved tvivl brug DNSViz.
• Godt: enten ingen DS (DNSSEC slået fra, det fungerer fint), eller en DS med status NOERROR og flaget ad. Forkert: SERVFAIL.

Del B: hjemmesiden

5. Peger domænenavnet på den rigtige server?

• Hvordan: dig +short A example.com og dig +short AAAA example.com.
• Godt: IPv4-adressen (og, hvis du har en, IPv6-adressen) på den server hvor din hjemmeside ligger. Ingen gammel AAAA fra en tidligere server.

6. Virker www?

• Hvordan: dig +short A www.example.com (eller CNAME).
• Godt: et A-record, AAAA-record eller CNAME der ender på den samme side. Mangler www, så får folk der skriver www en fejlmeddelelse.

7. Har hjemmesiden et gyldigt certifikat for begge navne?

• Hvordan: åbn https://example.com og https://www.example.com og klik på hængelåsen, eller brug hjemmesidetesten fra internet.nl.
• Godt: ingen advarsel, certifikatet er stadig gyldigt i mindst et par uger og gælder for begge navne.

8. Må din certifikatudsteder udstede certifikater (CAA)?

• Hvordan: dig +short CAA example.com.
• Godt: intet CAA-record (alle må), eller et CAA-record med issue for den udbyder der udsteder dit certifikat. Forkert: et CAA der ikke nævner din udsteder.

Del C: e-mailen

9. Hvor kommer din mail ind?

• Hvordan: dig +short MX example.com, og derefter dig +short A <mailserver> for det første navn.
• Godt: MX-records fra din nuværende mailudbyder, og ingen efterladt MX fra en tidligere udbyder. Hvert mailservernavn har et A- eller AAAA-record. Bruger du ikke domænet til mail, kan en null MX (0 .) tydeligt vise at der ikke modtages mail.

10. Er der præcis ét korrekt SPF-record?

• Hvordan: dig +short TXT example.com og se på de linjer der begynder med v=spf1; et e-mailtjek tæller opslagene.
• Godt: præcis ét SPF-record, med alle tjenester der sender mail på vegne af dit domæne, der slutter på ~all eller -all (aldrig +all), og højst ti DNS-opslag.

11. Er DKIM sat op for hver tjeneste der sender mail?

• Hvordan: dig +short TXT <selector>._domainkey.example.com (eller CNAME) for hver selector du kender, som din mailudbyders og din nyhedsbrevstjenestes. Selectoren finder du i tjenestens vejledning eller i headeren DKIM-Signature: ... s=<selector> i en afsendt mail.
• Godt: hvert record giver en nøgle (v=DKIM1; ... p=...) eller en CNAME til tjenesten, og en testmail viser DKIM PASS.

12. Er der et DMARC-record?

• Hvordan: dig +short TXT _dmarc.example.com.
• Godt: præcis ét record der begynder med v=DMARC1 og har en gyldig politik (p=none, p=quarantine eller p=reject). Begyndt med p=none? Planlæg så at stramme det op.

13. Kommer en rigtig mail godt frem?

• Hvordan: send en mail til mail-tester.com eller til en Gmail-adresse og se "Vis original".
• Godt: SPF, DKIM og DMARC viser PASS.

Del D: vedligeholdelse

14. Er TTL'erne fornuftige?

• Hvordan: dig example.com A @<din navneserver> og se på TTL'en.
• Godt: normalt 3600 til 86400 (en time til en dag). Kun midlertidigt 300 omkring en planlagt ændring. Glemmer du at sætte den tilbage efter en flytning, er det ikke slemt, men giver unødvendig meget trafik.

15. Har du en backup af din zone?

• Hvordan: backup- eller eksportknappen i dit DNS-panel, eller dig per record hvis du ikke har den.
• Godt: en nylig kopi af alle records, gemt uden for panelet.

16. Er der ingen glemte records?

• Hvordan: gennemgå alle records i dit panel.
• Godt: ingen verifikationsrecords eller subdomæner fra tjenester du ikke længere bruger. En CNAME til en opsagt tjeneste kan blive "overtaget" af en anden (subdomain takeover): fjern den.

Hvor begynder du ved en klage?

I praksis: sådan ser det ud i et panel

Et domænesundhedstjek klarer en stor del af denne liste automatisk. I Mit WebOké står det på domænesiden som kortet Domæne / E-mail sundhed, med grøn, orange og rød pr. punkt; den offentlige version virker for ethvert domæne. Andre hostingudbydere, registrarer og DNS-udbydere har tilsvarende tjek, og internet.nl tester en stor del af del B og C uafhængigt. Brug sådan et tjek som udgangspunkt og denne liste til at forstå hvad der er rødt.

Opsummering

• Gennemgå listen fra top til bund og stop ved det første punkt der ikke stemmer.
• Fundament: registrering, navneservere, ens svar, DNSSEC.
• Hjemmeside: A/AAAA, www, certifikat, CAA.
• Mail: MX med adresse, én SPF, DKIM pr. tjeneste, én DMARC, testmail.
• Vedligeholdelse: TTL, backup, oprydning.

Quiz

Opgave

Opgave Z8.5: Afsluttende opgave: dit eget domæne. Tjek dit eget domæne med denne tjekliste. Indtast dit domænenavn i kursusmiljøet og besvar for hvert punkt i del A, B og C hvad du fandt (for eksempel dine navneservere, din MX, dit SPF-record og din DMARC-politik). Programmet laver de samme tjek og sammenligner. Stemmer noget ikke i dit domæne, får du en forklaring med en henvisning til lektionen. Har du ikke et eget domæne, så brug sidn.nl.

Læs mere

Disse artikler beskriver tjekkene hos WebOké; tjeklisten virker for ethvert domæne.

• WebOké vejledning 5.17: Domæne og mailens sundhed: kontrollér og ret problemer
• Websted eller e-mail virker ikke efter en flytning eller DNS-ændring: kontroller dit domæne
• WebOké vejledning 5.7: DNS gendannelse og oprettelse af DNS-backup
• Lav en backup af din DNS, og gendan den
• Gratis værktøj Domænesundhed: https://www.weboke.dk/domaenets-sundhed
• Gratis e-mailtjek: https://www.weboke.dk/e-mail-tjek