Что означают проверки
DNS-серверы
Реестр доменной зоны публикует список DNS-серверов, которые отвечают за домен: это делегирование. Сама зона домена тоже перечисляет свои DNS-серверы. Оба списка должны совпадать, каждый сервер должен отвечать, и все они должны отдавать одну и ту же версию зоны, которую показывает серийный номер её записи SOA.
Сайт и почта
Записи A и AAAA содержат IPv4- и IPv6-адреса имени. Записи MX указывают серверы, которые принимают его почту. SPF перечисляет серверы, которым разрешено отправлять почту от имени домена, а DMARC сообщает принимающим серверам, что делать с письмами, которые не прошли ни проверку SPF, ни проверку DKIM для этого имени.
Безопасность
DNSSEC подписывает зону, чтобы резолверы могли распознавать поддельные ответы: реестр публикует запись DS, которая должна соответствовать ключу (DNSKEY), опубликованному в зоне. Записи CAA указывают, какие центры сертификации могут выпускать сертификаты для имени.
OK, Внимание, Отсутствует
OK означает, что проверка нашла то, что ищет. «Внимание» означает, что на что-то стоит обратить внимание, и пояснение говорит, на что именно. «Отсутствует» означает, что проверка ничего не нашла: такой записи нет или ни один DNS-сервер не ответил. Для некоторых записей, например CAA, отсутствие записи является выбором, а не ошибкой.
Проверка DNS-зоны: частые вопросы
Проверка DNS-зоны бесплатная?
Да, и без учётной записи. С одного подключения можно выполнить 10 новых проверок за 10 минут. Имя, которое проверяют снова в течение 5 минут, берётся из нашего кэша и не учитывается.
Какое имя проверяется, если ввести веб-адрес?
Само доменное имя: https://www.example.com/page превращается в example.com, а из адреса электронной почты берётся его домен. Интернационализированные имена можно вводить в Unicode или в Punycode. Проверка работает для любого доменного имени, где бы оно ни было зарегистрировано.
Почему реестр и зона указывают разные DNS-серверы?
Обычно потому, что DNS-серверы изменили только с одной стороны: у регистратора, который обновляет данные в реестре, или в зоне у DNS-провайдера. Резолверы начинают со списка реестра, поэтому из-за расхождения часть из них может попасть на сервер, на котором зоны уже нет или есть только её старая копия.
Что означает разный серийный номер SOA?
Серийный номер увеличивается при каждом изменении зоны, а вторичные серверы копируют зону, когда видят более высокий номер. Разные номера означают, что некоторые серверы ещё отдают старую версию: несколько минут после изменения или дольше, если копирование не удаётся. Повторите проверку чуть позже; если номера по-прежнему различаются, обратитесь к своему DNS-провайдеру. Если зону обслуживают два независимых DNS-провайдера, каждый нумерует свою копию отдельно: в этом случае инструмент не сравнивает их серийные номера.
Проверяет ли инструмент подписи DNSSEC?
Нет. Он читает запись DS в реестре и ключи в зоне и проверяет, что один из ключей соответствует записи DS. Совпадение ключа не доказывает, что подписи действительны. Зато отсутствующий или другой ключ приводит к тому, что резолверы, проверяющие DNSSEC, не могут разрешить имя.
Моя почта работает: почему инструмент пишет, что SPF или DMARC отсутствует?
Почта может доставляться и без них. Они позволяют принимающим серверам отличать ваши письма от поддельных, в которых используется ваше доменное имя, а без них у принимающих серверов нет от вас никаких указаний насчёт таких писем.
