TXT-records og domæneverifikation

Modul 4: Records til e-mail · Læsetid: 7 minutter

Læringsmål: Efter denne lektion kan du oprette et TXT-record til at verificere dit domæne hos en tjeneste, og du ved hvornår flere TXT-records må stå sammen, og hvornår ikke.

Nøglebegreber: TXT-record, verifikationskode, navn med underscore, anførselstegn, tekststykker på 255 tegn, SPF/DMARC som særlige TXT-records

En seddel i din DNS

Et TXT-record er det simpleste record, der findes: et stykke tekst ved et navn. DNS'et gør ikke selv noget med det. Det er beregnet til andre programmer, der kommer og læser den tekst.

Derfor er TXT det foretrukne record for tjenester, der vil vide, om et domæne virkelig er dit. Google Search Console, Microsoft 365, Google Workspace, Facebook, Apple, GitHub, nyhedsbrevstjenester og webshop-platforme arbejder alle på denne måde:

1. Tjenesten giver dig en kode, for eksempel google-site-verification=Ab12Cd34... eller MS=ms12345678.
2. Du sætter den kode som TXT-record i DNS'et for dit domæne.
3. Tjenesten henter TXT-recordet for dit domæne. Står koden der, ved den: den der kunne placere denne kode, administrerer dette domæne.

Kun den, der kan ændre DNS'et for et domæne, kan placere sådan et record. Derfor er det en pålidelig kontrol.

Hvordan ser et TXT-record ud?

example.com.   3600  IN  TXT  "google-site-verification=Ab12Cd34Ef56"
example.com.   3600  IN  TXT  "MS=ms12345678"
example.com.   3600  IN  TXT  "v=spf1 mx include:spf.service.example ~all"

Et par ting, du bør vide:

• Anførselstegn. I en zonefil står teksten mellem anførselstegn. I de fleste paneler behøver du ikke skrive dem selv: panelet sætter dem automatisk om teksten. Skriver du dem alligevel, så tjek efter at have gemt, at der ikke står dobbelte anførselstegn.
• Stykker på 255 tegn. Et tekststykke i et TXT-record må højst være 255 tegn langt (RFC 1035). Længere tekster, som en DKIM-nøgle, bliver delt op i flere stykker inden for samme record: "første del" "anden del". Programmer, der læser TXT, limer disse stykker sammen igen. Gode paneler deler automatisk op; i nogle skal du selv gøre det.
• Store bogstaver og mellemrum tæller med. Kopiér koden præcist, helst med kopiér og indsæt. Et mellemrum i slutningen eller et manglende tegn er nok til at få verifikationen til at mislykkes.

På hvilket navn?

Tjenesten oplyser altid, på hvilket navn recordet skal stå:

• På selve domænet. Tjenesten siger så "@", "root", "host tom" eller nævner kun example.com. I de fleste paneler skriver du så @ eller lader feltet stå tomt.
• På et eget navn. Nogle tjenester vil have et separat navn, der starter med en underscore, som _github-challenge-eksempelfirma eller _acme-challenge. Underscoren viser, at det ikke er et almindeligt værtsnavn (du kan ikke åbne en hjemmeside på det). Skriv i dit panel kun den første del; dit domænenavn kommer allerede automatisk bagefter.

En almindelig fejl: at udfylde hele navnet i et panel, der selv sætter domænenavnet bagefter. Så opstår _github-challenge-eksempelfirma.example.com.example.com, og tjenesten finder ingenting. Tjek efter at have gemt, hvilket fulde navn panelet viser.

Flere TXT-records: må det det?

Ja. På ét navn må der stå så mange TXT-records, som du vil. En verifikation for Google og en for Microsoft generer ikke hinanden. Hver tjeneste søger blandt alle TXT-records efter sin egen kode.

Der er to undtagelser, og de er vigtige:

• SPF (begynder med v=spf1): maksimalt ét pr. navn. To SPF-records gør dit SPF ugyldigt (lektion 4.3).
• DMARC (på _dmarc, begynder med v=DMARC1): maksimalt ét. Ved to records opfører en modtager sig, som om du ikke har DMARC (lektion 4.5).

Beder en tjeneste dig om "tilføj dette SPF-record", så opret ikke et andet SPF-record, men supplér det eksisterende.

Må verifikationen fjernes igen?

Det afhænger af tjenesten. Mange tjenester (som Google Search Console og Microsoft 365) kontrollerer igen senere. Fjerner du recordet, kan dit domæne efter et stykke tid blive betragtet som "ikke verificeret" igen. Lad det derfor stå, medmindre tjenesten siger, at det må fjernes. Et gammelt verifikationsrecord fra en tjeneste, du ikke bruger mere, må du gerne rydde op i.

Det virker ikke med det samme

Har du lige oprettet recordet, og siger tjenesten "ikke fundet"? Det skyldes som regel cachen (modul 6). Har tjenesten allerede forespurgt på dit domæne, før recordet eksisterede, husker den et stykke tid, at der ikke stod noget. Vent et kvarter og prøv igen. Tjek i mellemtiden selv med et online DNS-opslagsværktøj, om recordet er der (lektion 8.2 og 8.3).

I praksis: sådan ser det ud i et panel

I dette eksempel bruger vi Mit WebOké. Gå til domænet, fanen DNS, og klik på Tilføj post. Vælg type TXT, udfyld ved Navn @ (eller det navn, tjenesten angiver), og indsæt koden ved værdien. Anførselstegn behøver du ikke skrive. I DirectAdmin fungerer det i DNS-administration på samme måde; dér lader du TXT-posttype stå på Almindelig.

I andre paneler hedder felterne nogle gange Host, Værtsnavn eller Name og Value, Content eller Data, men princippet er det samme.

Opsummering

• Et TXT-record er tekst ved et navn. Tjenester bruger det til at kontrollere, om et domæne er dit.
• Kopiér koden præcist, og placér den på det navn, tjenesten angiver (ofte @, nogle gange et navn med underscore).
• Flere TXT-records på ét navn er tilladt, undtagen for SPF og DMARC: dér maksimalt ét.
• Lykkes verifikationen ikke med det samme, så vent lidt: svaret kan stadig sidde i en cache.

Quiz

Opgave

Opgave Z4.2: Find verifikationskode. Slå TXT-records op for wikipedia.org. Dér står blandt andet en verifikationskode fra Google. Indsæt hele verifikationsteksten, der begynder med google-site-verification=.

Opgave O4.2: Opsætning i din egen øvelseszone. I øvelseszonen bruger du en falsk tjeneste; ved dit rigtige domæne bruger du naturligvis den rigtige kode, som tjenesten giver dig. Du får til opgaven en personlig kode <din kode> (den ser ud som oefen-<kode>-<bogstaver>). Opret i din øvelseszone <code>.dnspractice.eu to TXT-records:

1. på navnet for selve zonen (@): dnscursus-verificatie=<din kode>
2. på navnet _cursus-challenge: kun <din kode>

Læs mere

Trinene i disse artikler gælder for WebOkés paneler; i andre paneler fungerer det på lignende vis.

• DirectAdmin vejledning 5.6: TXT-records til verifikation (Google, Microsoft og andre)
• Administrer DNS-poster i Mit WebOké (med eksempler på CNAME, TXT og eksterne tjenester)
• WebOké vejledning 5.4: Administrer DNS: tilføj, ændr og slet records
• RFC 1035 afsnit 3.3.14 (TXT), RFC 7208 afsnit 3.3 (lange SPF-tekster i flere stykker)