Checklista för din egen domän

Modul 8: Säkerhet och felsökning · Lästid: 10 minuter

Lärandemål: Efter den här lektionen kontrollerar du din egen domän uppifrån och ner med en fast checklista, och du vet var du ska börja om webbplatsen eller mailen inte fungerar.

Nyckelbegrepp: registrering, namnservrar, A/AAAA, www, certifikat, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, säkerhetskopia

Varför uppifrån och ner?

DNS är en kedja: utan registrering inga namnservrar, utan fungerande namnservrar inga poster, utan A-post ingen webbplats. Ett fel högst upp orsakar en massa klagomål längre ner. Därför går du alltid igenom listan i den här ordningen och stannar vid den första punkten som inte stämmer. Åtgärda det först, och börja sedan om från toppen.

I listan står example.com: byt ut det mot din egen domän. Vid varje punkt finns ett dig-kommando; ett online-dig (lektion 8.3) fungerar också. En domänhälsokontroll, som den från ditt webbhotell eller den kostnadsfria Domänhälsa, utför en stor del av den här listan i ett enda svep, men det är bra att veta vad som ligger bakom.

Del A: grunden

1. Är domänen registrerad och aktiv?

• Hur: en whois- eller RDAP-sökning (till exempel via registeransvarigs webbplats, som internetstiftelsen.se för .se), eller whois example.com.
• Bra: status aktiv, inte i karantän, inte utgången. Domäninnehavaren stämmer.

2. Vilka namnservrar har domänen, och är det minst två?

• Hur: dig +short NS example.com, och för vad registeransvarig anger dig +trace example.com.
• Bra: minst två namnservrar, från den part där du hanterar din DNS.

3. Svarar alla namnservrar, och ger de samma svar?

• Hur: dig +short SOA example.com @<namnserver> för varje namnserver.
• Bra: varje namnserver svarar (ingen time-out, ingen REFUSED) och serienumret (tredje fältet i SOA) är lika överallt. En namnserver som inte svarar för din domän kallas lame.

4. Stämmer DNSSEC (om det är aktiverat)?

• Hur: dig +short DS example.com och dig example.com A @1.1.1.1 (kolla statusen och flaggan ad); vid tvekan DNSViz.
• Bra: antingen ingen DS (DNSSEC av, det fungerar helt enkelt), eller en DS med status NOERROR och flaggan ad. Fel: SERVFAIL.

Del B: webbplatsen

5. Pekar domännamnet mot rätt server?

• Hur: dig +short A example.com och dig +short AAAA example.com.
• Bra: IPv4-adressen (och, om du har en, IPv6-adressen) till servern där din webbplats finns. Ingen gammal AAAA från en tidigare server.

6. Fungerar www?

• Hur: dig +short A www.example.com (eller CNAME).
• Bra: en A-post, AAAA-post eller CNAME som leder till samma webbplats. Saknas www får personer som skriver www ett felmeddelande.

7. Har webbplatsen ett giltigt certifikat för båda namnen?

• Hur: öppna https://example.com och https://www.example.com och klicka på låset, eller använd webbplatstestet på internet.nl.
• Bra: ingen varning, certifikatet är giltigt i åtminstone några veckor till och gäller för båda namnen.

8. Får din certifikatutfärdare skapa certifikat (CAA)?

• Hur: dig +short CAA example.com.
• Bra: ingen CAA-post (alla får), eller en CAA-post med issue för den part som utfärdar ditt certifikat. Fel: en CAA som inte nämner din utfärdare.

Del C: e-posten

9. Var kommer din mail in?

• Hur: dig +short MX example.com, och sedan dig +short A <mailserver> för det första namnet.
• Bra: MX-posterna från din nuvarande mailleverantör, och ingen kvarlämnad MX från en gammal leverantör. Varje mailservernamn har en A- eller AAAA-post. Använder du inte domänen för mail kan en null-MX (0 .) tydligt visa att ingen mail tas emot.

10. Finns det exakt en korrekt SPF-post?

• Hur: dig +short TXT example.com och titta på raderna som börjar med v=spf1; en e-postkontroll räknar uppslagningarna.
• Bra: exakt en SPF-post, med alla tjänster som mailar å din domäns vägnar, som slutar på ~all eller -all (aldrig +all), och inte fler än tio DNS-uppslagningar.

11. Är DKIM inställt för varje tjänst som mailar?

• Hur: dig +short TXT <selector>._domainkey.example.com (eller CNAME) för varje selector du känner till, som den från din mailleverantör och din nyhetsbrevstjänst. Selectorn hittar du i tjänstens instruktioner eller i rubriken DKIM-Signature: ... s=<selector> i ett skickat mail.
• Bra: varje post ger en nyckel (v=DKIM1; ... p=...) eller en CNAME till tjänsten, och ett testmail visar DKIM PASS.

12. Finns det en DMARC-post?

• Hur: dig +short TXT _dmarc.example.com.
• Bra: exakt en post som börjar med v=DMARC1 och har en giltig policy (p=none, p=quarantine eller p=reject). Har du börjat med p=none? Planera då att skärpa den.

13. Kommer ett riktigt mail fram korrekt?

• Hur: skicka ett mail till mail-tester.com eller till en Gmail-adress och titta på "Visa original".
• Bra: SPF, DKIM och DMARC på PASS.

Del D: underhåll

14. Är TTL-värdena rimliga?

• Hur: dig example.com A @<din namnserver> och titta på TTL.
• Bra: normalt 3600 till 86400 (en timme till ett dygn). Bara tillfälligt 300 kring en planerad ändring. Glömmer du att ställa tillbaka det efter en flytt är det inte allvarligt, men det ger onödigt mycket trafik.

15. Har du en säkerhetskopia av din zon?

• Hur: säkerhetskopierings- eller exportknappen i din DNS-panel, eller dig per post om du inte har det.
• Bra: en färsk kopia av alla poster, sparad utanför panelen.

16. Finns det inga glömda poster?

• Hur: gå igenom alla poster i din panel.
• Bra: inga verifieringsposter eller subdomäner för tjänster du inte längre använder. En CNAME till en uppsagd tjänst kan "tas över" av någon annan (subdomain takeover): ta bort den.

Var börjar du vid ett klagomål?

I praktiken: så här ser det ut i en panel

En domänhälsokontroll utför en stor del av den här listan automatiskt. I Mitt WebOké finns den på domänsidan som kortet Domän / E-posthälsa, med grönt, orange och rött per punkt; den publika versionen fungerar för vilken domän som helst. Andra webbhotell, registrars och DNS-leverantörer har liknande kontroller, och internet.nl testar en stor del av del B och C oberoende. Använd en sådan kontroll som startpunkt och den här listan för att förstå vad som är markerat med rött.

Sammanfattning

• Gå igenom listan uppifrån och ner och stanna vid den första punkten som inte stämmer.
• Grund: registrering, namnservrar, lika svar, DNSSEC.
• Webbplats: A/AAAA, www, certifikat, CAA.
• Mail: MX med adress, en SPF, DKIM per tjänst, en DMARC, testmail.
• Underhåll: TTL, säkerhetskopia, städning.

Quiz

Uppgift

Uppgift Z8.5: Slutuppgift: din egen domän. Kontrollera din egen domän med den här checklistan. Ange ditt domännamn i kursmiljön och besvara för varje punkt i del A, B och C vad du hittade (till exempel dina namnservrar, din MX, din SPF-post och din DMARC-policy). Programmet gör samma kontroller och jämför. Stämmer något inte i din domän får du en förklaring med en hänvisning till lektionen. Har du ingen egen domän, använd då sidn.nl (webbplatsen för SIDN, registeransvarig för .nl i Nederländerna).

Läs mer

Dessa artiklar beskriver kontrollerna hos WebOké; checklistan fungerar för vilken domän som helst.

• WebOké manual 5.17: Domän och e-posthälsa: kontrollera och åtgärda
• Webbplatsen eller e-posten fungerar inte efter en flytt eller DNS-ändring: kontrollera din domän
• WebOké manual 5.7: Återställa DNS och skapa en DNS-backup
• Gör en backup av din DNS och återställ den
• Kostnadsfritt verktyg Domänhälsa: https://www.weboke.se/domanhalsa
• Kostnadsfri E-postkontroll: https://www.weboke.se/e-postkontroll