Проверка DNS-записей домена

Запись A связывает имя домена с IP-адресом сервера — это тот самый перевод «имя → адрес», ради которого DNS и существует. AAAA делает то же самое для адресов IPv6. CNAME вместо адреса указывает на другое имя, и дальше резолвер идёт по цепочке. У одного имени не может быть одновременно CNAME и других записей, поэтому на корне домена CNAME обычно не ставят.

Они втроём отвечают на вопрос почтового сервера «а это письмо правда от вас». SPF перечисляет серверы, которым разрешено отправлять почту от имени домена. DKIM добавляет к письму подпись, а открытый ключ для её проверки лежит в DNS. DMARC говорит принимающей стороне, что делать с письмом, которое не прошло ни ту, ни другую проверку. Без них ваш домен подставлен: письмо «от директора» с просьбой оплатить счёт уйдёт получателю без единой пометки.

Это политика DMARC — три ступени строгости. p=none означает «ничего не делай, просто присылай мне отчёты»; с неё начинают, чтобы посмотреть, кто вообще шлёт от вашего имени. p=quarantine отправляет непрошедшие письма в спам. p=reject заставляет принимающий сервер отбить их на входе. Домен, годами стоящий на p=none, защищён ровно так же, как домен вообще без DMARC.

Ключ DKIM лежит по адресу вида селектор._domainkey.домен, и селектор нигде не публикуется — его знает только отправляющий сервер. Инструмент перебирает десяток самых частых, которые ставят почтовые сервисы по умолчанию. Свой селектор смотрите в настройках почтового сервиса; пустой результат здесь не доказывает, что подписи нет.

TTL — время жизни записи в секундах: столько промежуточные серверы держат ответ в кэше и не перезапрашивают его. При TTL 86400 старый адрес будет разъезжаться по интернету сутки, и вы ничего с этим не сделаете. Поэтому перед переездом сайта TTL заранее снижают до 300 секунд, ждут, пока разойдётся старое значение, и только потом меняют адрес.

Начальная запись зоны: главный сервер имён, почта администратора и пять чисел — серийный номер, интервалы обновления и повтора, срок устаревания и TTL для отрицательных ответов. Серийный номер полезен на практике: если после правки в панели он не вырос, вторичные серверы про изменения не узнают.

Стандарт разрешает записи SPF не больше десяти обращений к DNS при проверке — считаются include, a, mx, ptr, exists и redirect. Превысили — проверка завершается ошибкой permerror, и письма начинают попадать в спам, хотя запись выглядит правильной. Это частая беда доменов, где годами добавляли новые сервисы и ни разу не убирали старые.

Инструмент запрашивает записи у публичных DNS-серверов 1.1.1.1 и 8.8.8.8. Ответ приходит из их кэша, поэтому совсем свежая правка может здесь ещё не отобразиться.