[M.....o]

Przez przypadek dodałem rekord SPF pod poddomenę dla DMARC (╥﹏╥). Szybko usunąłem i poprawiłem, ale zdążyły niektóre serwery DNS załapać i teraz sytuacja wygląda tak, że się już propaguje chyba z 4 dni (coś za długo) i niektóre serwery się wymieniają tym błędnym SPF'em (jak na screen'ie).

Pytanie brzmi czekać dalej, aż samo się rozwiąże? Usunąć ten DMARC, poczekać aż załapie do końca i wtedy dodać? Da się jakoś inaczej to rozwiązać?

#programowanie #programista15k #programista25k #dns #devops #frontend #backend

[y.....l]

@Maoo: Musisz czekać. Reject od razu, odważnie. ;)

[malpi]

Pytanie brzmi czekać dalej, aż samo się rozwiąże?

@Maoo: a jakie masz ustawienia w rekordzie SOA i jaki jest TTL dla wpisu pod _dmarc?

[malpi]

@Maoo: większość publicznych DNS możesz spurgować na żądanie. Np. tego opendns pod https://cachecheck.opendns.com/

Google, Cloudflare mają swoje analogiczne usługi na to, znajdziesz w google pod 'operator purge dns'.

Nie znam implementacji DMARC u różnych operatorów, ale spodziewam się że ta pomyłka była nieszkodliwa. Martwiłbym się jeśli ustawiłeś jakiś kosmicznie wysoki TTL.

[M.....o]

@malpi:
nslookup -q=SOA _dmarc.XXXXXX
primary name server = ...
responsible mail addr = ...
serial = XXXXXXXXXX
refresh = 10800

[malpi]

@Maoo: pokaż mi jeszcze TTL dla tego rekordu dmarc.

Polecenie: host -a -t txt _dmarc.XXXX nazwa_serwera_dns
Jako nazwa_serwera_dns podaj jakiś serwer nazw który tą domenę XXX obsługuje, do sprawdzenia przez host -t ns XXXX.

Na screenie wrzuciłem przykład z odpytywania dla _dmarc.gmail.com

[M.....o]

@malpi:

3600

=====================

[malpi]

@Maoo: skoro TTL jest ustawiony na 3600 i zakładając że taki sam był przed zmianą rekordu, to znaczy że nie ma możliwości[*] aby te dane były utrzymywane przez więcej niż godzinę, a tym bardziej przez cztery dni.

Jeżeli widzisz złe rekordy po 4 dniach, to coś innego jest nie tak.

Dodatkowo w tym co wkleiłeś widzę, że dalej serwer DNS którego zapytałeś zwraca nieprawidłowy rekord SPF w miejscu DMARC. Albo nie wprowadziłeś zmiany prawidłowo, albo serwery DNS które obsługują tą domenę są

[M.....o]

@malpi: napisałem na priv