Rekordy TXT i weryfikacja domeny

Moduł 4: Rekordy dla poczty e-mail · Czas czytania: 7 min

Cel lekcji: Po tej lekcji będą Państwo potrafili utworzyć rekord TXT, aby zweryfikować swoją domenę w usłudze, i będą Państwo wiedzieć, kiedy kilka rekordów TXT może istnieć obok siebie, a kiedy nie.

Kluczowe pojęcia: rekord TXT, kod weryfikacyjny, nazwa z podkreśleniem, cudzysłowy, fragmenty tekstu po 255 znaków, SPF/DMARC jako szczególne rekordy TXT

Kartka w Państwa DNS

Rekord TXT to najprostszy rekord, jaki istnieje: fragment tekstu przy danej nazwie. DNS sam w sobie nic z nim nie robi. Jest przeznaczony dla innych programów, które przychodzą ten tekst odczytać.

Dlatego TXT jest ulubionym rekordem usług, które chcą sprawdzić, czy dana domena rzeczywiście należy do Państwa. Google Search Console, Microsoft 365, Google Workspace, Facebook, Apple, GitHub, usługi newsletterowe oraz platformy sklepów internetowych działają w podobny sposób:

1. Usługa przekazuje Państwu kod, na przykład google-site-verification=Ab12Cd34... lub MS=ms12345678.
2. Umieszczają Państwo ten kod jako rekord TXT w DNS swojej domeny.
3. Usługa odpytuje rekord TXT Państwa domeny. Jeśli kod tam się znajduje, usługa wie: kto mógł umieścić ten kod, ten administruje tą domeną.

Taki rekord może umieścić wyłącznie osoba, która ma możliwość zmiany DNS danej domeny. Dlatego jest to wiarygodna metoda weryfikacji.

Jak wygląda rekord TXT?

example.com.   3600  IN  TXT  "google-site-verification=Ab12Cd34Ef56"
example.com.   3600  IN  TXT  "MS=ms12345678"
example.com.   3600  IN  TXT  "v=spf1 mx include:spf.service.example ~all"

Kilka rzeczy, które warto wiedzieć:

• Cudzysłowy. W pliku strefy tekst znajduje się w cudzysłowach. W większości paneli nie trzeba ich samodzielnie wpisywać: panel umieszcza je automatycznie. Jeśli mimo to Państwo je wpiszą, proszę po zapisaniu sprawdzić, czy nie pojawiły się podwójne cudzysłowy.
• Fragmenty po 255 znaków. Jeden fragment tekstu w rekordzie TXT może mieć maksymalnie 255 znaków (RFC 1035). Dłuższe teksty, takie jak klucz DKIM, są dzielone na kilka fragmentów w ramach tego samego rekordu: "pierwsza część" "druga część". Programy odczytujące TXT ponownie sklejają te fragmenty w całość. Dobre panele dzielą tekst automatycznie; w niektórych trzeba zrobić to samodzielnie.
• Wielkość liter i spacje mają znaczenie. Proszę skopiować kod dokładnie, najlepiej metodą kopiuj wklej. Spacja na końcu lub brakujący znak wystarczą, aby weryfikacja się nie powiodła.

Na jakiej nazwie?

Usługa zawsze podaje, na jakiej nazwie powinien znajdować się rekord:

• Na samej domenie. Usługa podaje wtedy „@”, „root”, „host pusty” lub wymienia tylko example.com. W większości paneli wpisują Państwo wtedy @ lub pozostawiają pole puste.
• Na osobnej nazwie. Niektóre usługi wymagają odrębnej nazwy zaczynającej się od podkreślenia, na przykład _github-challenge-przykladowafirma lub _acme-challenge. Podkreślenie pokazuje, że nie jest to zwykła nazwa hosta (nie można pod nią otworzyć strony internetowej). W swoim panelu proszę wpisać tylko tę pierwszą część; nazwa domeny zostanie dodana automatycznie.

Częsty błąd: wpisanie pełnej nazwy w panelu, który sam dopisuje nazwę domeny na końcu. Powstaje wtedy _github-challenge-przykladowafirma.example.com.example.com, a usługa niczego nie znajduje. Po zapisaniu proszę sprawdzić, jaką pełną nazwę pokazuje panel.

Kilka rekordów TXT: czy to dozwolone?

Tak. Na jednej nazwie może znajdować się tyle rekordów TXT, ile Państwo chcą. Weryfikacja dla Google i weryfikacja dla Microsoft nie przeszkadzają sobie nawzajem. Każda usługa szuka wśród wszystkich rekordów TXT własnego kodu.

Istnieją dwa wyjątki i są one ważne:

• SPF (zaczyna się od v=spf1): maksymalnie jeden na daną nazwę. Dwa rekordy SPF sprawiają, że Państwa SPF staje się nieważny (lekcja 4.3).
• DMARC (na _dmarc, zaczyna się od v=DMARC1): maksymalnie jeden. Przy dwóch rekordach odbiorca zachowuje się tak, jakby Państwo w ogóle nie mieli DMARC (lekcja 4.5).

Jeśli usługa prosi „proszę dodać ten rekord SPF”, nie należy więc tworzyć drugiego rekordu SPF, tylko uzupełnić już istniejący.

Czy weryfikację można potem usunąć?

To zależy od usługi. Wiele usług (takich jak Google Search Console i Microsoft 365) sprawdza stan ponownie w późniejszym czasie. Jeśli usuną Państwo rekord, domena po pewnym czasie może ponownie zostać uznana za „niezweryfikowaną”. Dlatego najlepiej pozostawić rekord na miejscu, chyba że usługa wyraźnie poinformuje, że można go usunąć. Stary rekord weryfikacyjny usługi, z której już Państwo nie korzystają, można jednak usunąć.

Nie działa od razu

Czy właśnie utworzyli Państwo rekord, a usługa zgłasza „nie znaleziono”? Zazwyczaj wynika to z pamięci podręcznej (moduł 6). Jeśli usługa odpytała Państwa domenę zanim rekord zaistniał, przez pewien czas pamięta, że niczego tam nie było. Proszę odczekać kwadrans i spróbować ponownie. W międzyczasie można samodzielnie sprawdzić za pomocą internetowego narzędzia do odpytywania DNS, czy rekord już tam jest (lekcja 8.2 i 8.3).

W praktyce: tak wygląda to w panelu

W tym przykładzie korzystamy z Moje WebOké. Proszę przejść do domeny, zakładka DNS, i kliknąć Dodaj rekord. Proszę wybrać typ TXT, w polu Nazwa wpisać @ (lub nazwę podaną przez usługę) i wkleić kod w polu wartości. Cudzysłowów nie trzeba wpisywać samodzielnie. W DirectAdmin działa to podobnie w sekcji Administracja DNS; tam proszę pozostawić Typ rekordu TXT na wartości Czysty tekst.

W innych panelach pola mogą nazywać się Host, Nazwa hosta lub Name oraz Value, Content lub Data, ale zasada działania jest taka sama.

Podsumowanie

• Rekord TXT to tekst przypisany do nazwy. Usługi wykorzystują go, aby sprawdzić, czy dana domena należy do Państwa.
• Proszę dokładnie skopiować kod i umieścić go na nazwie wskazanej przez usługę (często @, czasem nazwa z podkreśleniem).
• Kilka rekordów TXT na jednej nazwie jest dozwolone, z wyjątkiem SPF i DMARC: z nich może być maksymalnie jeden.
• Jeśli weryfikacja nie powiedzie się od razu, proszę chwilę odczekać: odpowiedź może nadal znajdować się w pamięci podręcznej.

Quiz

Zadanie

Zadanie Z4.2: Wyszukiwanie kodu weryfikacyjnego. Proszę wyszukać rekordy TXT domeny wikipedia.org. Znajduje się tam między innymi kod weryfikacyjny Google. Proszę wkleić pełny tekst weryfikacyjny zaczynający się od google-site-verification=.

Zadanie O4.2: Samodzielna konfiguracja w strefie ćwiczeniowej. W strefie ćwiczeniowej korzystają Państwo z fikcyjnej usługi; w przypadku swojej prawdziwej domeny będą Państwo oczywiście używać prawdziwego kodu otrzymanego od usługi. W ramach zadania otrzymają Państwo osobisty kod <Twój kod> (ma on postać oefen-<kod>-<litery>). W swojej strefie ćwiczeniowej <code>.dnspractice.eu proszę utworzyć dwa rekordy TXT:

1. na nazwie samej strefy (@): dnscursus-verificatie=<Twój kod>
2. na nazwie _cursus-challenge: tylko <Twój kod>

Więcej informacji

Kroki opisane w tych artykułach dotyczą paneli WebOké; w innych panelach działanie jest podobne.

• Instrukcja DirectAdmin 5.6: Rekordy TXT do weryfikacji (Google, Microsoft i inne)
• Zarządzanie rekordami DNS w Moje WebOké (z przykładami dla CNAME, TXT i usług zewnętrznych)
• Podręcznik WebOké 5.4: Zarządzanie DNS: dodawanie, zmiana i usuwanie rekordów
• RFC 1035 paragraf 3.3.14 (TXT), RFC 7208 paragraf 3.3 (długie teksty SPF podzielone na kilka fragmentów)