TXT-poster og domeneverifisering

Modul 4: Poster for e-post · Lesetid: 7 minutter

Læringsmål: Etter denne leksjonen kan du opprette en TXT-post for å verifisere domenet ditt hos en tjeneste, og du vet når flere TXT-poster kan stå side om side og når ikke.

Nøkkelbegreper: TXT-post, verifiseringskode, navn med understrek, anførselstegn, tekstbiter på 255 tegn, SPF/DMARC som spesielle TXT-poster

En lapp i DNS-en din

En TXT-post er den enkleste posten som finnes: en tekstbit knyttet til et navn. DNS-en gjør ingenting med den selv. Den er ment for andre programmer som kommer og leser den teksten.

Derfor er TXT favorittposten til tjenester som vil vite om et domene virkelig er ditt. Google Search Console, Microsoft 365, Google Workspace, Facebook, Apple, GitHub, nyhetsbrevtjenester og nettbutikkplattformer fungerer alle slik:

1. Tjenesten gir deg en kode, for eksempel google-site-verification=Ab12Cd34... eller MS=ms12345678.
2. Du legger den koden inn som en TXT-post i DNS-en til domenet ditt.
3. Tjenesten slår opp TXT-posten til domenet ditt. Står koden der, vet den: den som kunne legge inn denne koden, administrerer dette domenet.

Bare den som kan endre DNS-en til et domene, kan legge inn en slik post. Derfor er det en pålitelig kontroll.

Hvordan ser en TXT-post ut?

example.com.   3600  IN  TXT  "google-site-verification=Ab12Cd34Ef56"
example.com.   3600  IN  TXT  "MS=ms12345678"
example.com.   3600  IN  TXT  "v=spf1 mx include:spf.service.example ~all"

Noen ting du bør vite:

• Anførselstegn. I en sonefil står teksten mellom anførselstegn. I de fleste kontrollpaneler trenger du ikke å skrive dem selv: panelet setter dem rundt automatisk. Skriver du dem likevel, sjekk etter lagring at det ikke står doble anførselstegn.
• Biter på 255 tegn. Én tekstbit i en TXT-post kan være maks 255 tegn lang (RFC 1035). Lengre tekster, som en DKIM-nøkkel, blir delt opp i flere biter innenfor samme post: "første del" "andre del". Programmer som leser TXT setter disse bitene sammen igjen. Gode kontrollpaneler deler opp automatisk; i noen må du gjøre det selv.
• Store bokstaver og mellomrom teller. Kopier koden nøyaktig, helst med kopier og lim inn. Et mellomrom til slutt eller et manglende tegn er nok til at verifiseringen mislykkes.

På hvilket navn?

Tjenesten oppgir alltid hvilket navn posten skal stå på:

• På selve domenet. Tjenesten sier da "@", "root", "host tomt" eller nevner bare example.com. I de fleste kontrollpaneler skriver du da @ eller lar feltet stå tomt.
• På et eget navn. Noen tjenester vil ha et eget navn som begynner med understrek, som _github-challenge-eksempelbedrift eller _acme-challenge. Understreken viser at det ikke er et vanlig vertsnavn (du kan ikke åpne en nettside på det). Skriv bare den første delen i panelet ditt; domenenavnet ditt kommer allerede bak.

En vanlig feil: å fylle inn hele navnet i et panel som selv setter domenenavnet bak. Da oppstår _github-challenge-eksempelbedrift.example.com.example.com, og tjenesten finner ingenting. Sjekk hvilket fullstendige navn panelet viser etter lagring.

Flere TXT-poster: er det lov?

Ja. På ett navn kan det stå så mange TXT-poster du vil. En verifisering for Google og en for Microsoft kommer ikke i veien for hverandre. Hver tjeneste søker blant alle TXT-postene etter sin egen kode.

Det finnes to unntak, og de er viktige:

• SPF (begynner med v=spf1): maks én per navn. To SPF-poster gjør SPF-en din ugyldig (leksjon 4.3).
• DMARC (på _dmarc, begynner med v=DMARC1): maks én. Ved to poster oppfører en mottaker seg som om du ikke har DMARC (leksjon 4.5).

Ber en tjeneste deg om å "legge til denne SPF-posten", lag da altså ikke en ny SPF-post, men utvid den eksisterende.

Kan verifiseringen fjernes igjen?

Det avhenger av tjenesten. Mange tjenester (som Google Search Console og Microsoft 365) kontrollerer på nytt senere. Fjerner du posten, kan domenet ditt etter en stund igjen bli regnet som "ikke verifisert". La den derfor stå, med mindre tjenesten sier at den kan fjernes. En gammel verifiseringspost fra en tjeneste du ikke lenger bruker, kan du gjerne rydde bort.

Det virker ikke med en gang

Har du nettopp opprettet posten, og sier tjenesten "ikke funnet"? Det skyldes som regel cachen (modul 6). Har tjenesten allerede slått opp domenet ditt før posten eksisterte, husker den en stund at det ikke stod noe der. Vent et kvarter og prøv igjen. I mellomtiden kan du selv sjekke med et nettbasert DNS-oppslagsverktøy om posten står der (leksjon 8.2 og 8.3).

I praksis: slik ser det ut i et kontrollpanel

I dette eksempelet bruker vi Min side. Gå til domenet, fanen DNS, og klikk på Add Record. Velg type TXT, fyll inn @ i Navn (eller navnet tjenesten oppgir) og lim inn koden i verdien. Du trenger ikke å skrive anførselstegn selv. I DirectAdmin fungerer det på samme måte i DNS Administration; der lar du TXT Record Type stå på Plain.

I andre kontrollpaneler heter feltene noen ganger Host, Hostname eller Name og Value, Content eller Data, men prinsippet er det samme.

Oppsummering

• En TXT-post er tekst knyttet til et navn. Tjenester bruker den til å kontrollere om et domene er ditt.
• Kopier koden nøyaktig og sett den på navnet tjenesten oppgir (ofte @, noen ganger et navn med understrek).
• Flere TXT-poster på ett navn er lov, bortsett fra SPF og DMARC: der er det maks én.
• Lykkes ikke verifiseringen med en gang, vent litt: svaret kan fortsatt ligge i en cache.

Quiz

Oppgave

Oppgave Z4.2: Finn verifiseringskode. Slå opp TXT-postene til wikipedia.org. Der står blant annet en verifiseringskode fra Google. Lim inn hele verifiseringsteksten som begynner med google-site-verification=.

Oppgave O4.2: Sett opp selv i øvingssonen din. I øvingssonen bruker du en falsk tjeneste; for ditt ekte domene bruker du selvfølgelig den ekte koden tjenesten gir deg. Du får en personlig kode <din kode> til oppgaven (den ser ut som oefen-<kode>-<bokstaver>). Opprett to TXT-poster i øvingssonen din <code>.dnspractice.eu:

1. på navnet til selve sonen (@): dnscursus-verificatie=<din kode>
2. på navnet _cursus-challenge: bare <din kode>

Les mer

Trinnene i disse artiklene gjelder for kontrollpanelene til WebOké; i andre paneler fungerer det på lignende måte.

• DirectAdmin-veiledning 5.6: TXT-poster for verifisering (Google, Microsoft og andre)
• Administrer DNS-poster i Mitt WebOké (med eksempler for CNAME, TXT og eksterne tjenester)
• WebOké-veiledning 5.4: Behandle DNS: legge til, endre og slette poster
• RFC 1035 avsnitt 3.3.14 (TXT), RFC 7208 avsnitt 3.3 (lange SPF-tekster i flere biter)