TXT-tietueet ja verkkotunnuksen vahvistus

Moduuli 4: Sähköpostin tietueet · Lukuaika: 7 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat luoda TXT-tietueen verkkotunnuksesi vahvistamiseksi jossakin palvelussa, ja tiedät milloin useampi TXT-tietue voi olla rinnakkain ja milloin ei.

Keskeiset käsitteet: TXT-tietue, vahvistuskoodi, alaviivalla alkava nimi, lainausmerkit, 255 merkin tekstinpätkät, SPF/DMARC erikoisina TXT-tietueina

Lappunen DNS:ssäsi

TXT-tietue on yksinkertaisin olemassa oleva tietue: pätkä tekstiä jonkin nimen kohdalla. DNS itse ei tee sillä mitään. Se on tarkoitettu muille ohjelmille, jotka tulevat lukemaan tekstin.

Siksi TXT on suosituin tietue palveluille, jotka haluavat tietää onko verkkotunnus todella sinun. Google Search Console, Microsoft 365, Google Workspace, Facebook, Apple, GitHub, uutiskirjepalvelut ja verkkokauppa-alustat toimivat kaikki samalla tavalla:

1. Palvelu antaa sinulle koodin, esimerkiksi google-site-verification=Ab12Cd34... tai MS=ms12345678.
2. Lisäät koodin TXT-tietueena verkkotunnuksesi DNS:ään.
3. Palvelu hakee verkkotunnuksesi TXT-tietueen. Jos koodi löytyy, palvelu tietää: se joka pystyi lisäämään tämän koodin, hallinnoi tätä verkkotunnusta.

Vain se, joka pystyy muokkaamaan verkkotunnuksen DNS:ää, voi lisätä tällaisen tietueen. Siksi se on luotettava tapa varmistaa asia.

Miltä TXT-tietue näyttää?

example.com.   3600  IN  TXT  "google-site-verification=Ab12Cd34Ef56"
example.com.   3600  IN  TXT  "MS=ms12345678"
example.com.   3600  IN  TXT  "v=spf1 mx include:spf.service.example ~all"

Muutama asia hyvä tietää:

• Lainausmerkit. Vyöhyketiedostossa teksti on lainausmerkkien sisällä. Useimmissa hallintapaneeleissa niitä ei tarvitse kirjoittaa itse: paneeli lisää ne automaattisesti. Jos kirjoitat ne itse, tarkista tallennuksen jälkeen ettei syntynyt kahdennettuja lainausmerkkejä.
• 255 merkin pätkät. Yksi tekstinpätkä TXT-tietueessa saa olla enintään 255 merkkiä pitkä (RFC 1035). Pidemmät tekstit, kuten DKIM-avain, pilkotaan useampaan pätkään saman tietueen sisällä: "ensimmäinen osa" "toinen osa". TXT:tä lukevat ohjelmat liittävät pätkät taas yhteen. Hyvät hallintapaneelit pilkkovat tekstin automaattisesti; joissakin se pitää tehdä itse.
• Isot kirjaimet ja välilyönnit vaikuttavat. Kopioi koodi tarkalleen, mieluiten kopioimalla ja liittämällä. Ylimääräinen välilyönti lopussa tai puuttuva merkki riittää saamaan vahvistuksen epäonnistumaan.

Millä nimellä?

Palvelu kertoo aina, millä nimellä tietueen tulee olla:

• Itse verkkotunnuksella. Palvelu sanoo tällöin "@", "root", "host tyhjä" tai mainitsee pelkästään example.com. Useimmissa hallintapaneeleissa kirjoitat tällöin @ tai jätät kentän tyhjäksi.
• Omalla nimellä. Jotkin palvelut haluavat erillisen nimen, joka alkaa alaviivalla, kuten _github-challenge-esimerkkiyritys tai _acme-challenge. Alaviiva osoittaa, ettei kyseessä ole tavallinen isäntänimi (sen alle ei voi avata verkkosivustoa). Kirjoita hallintapaneeliisi vain tämä ensimmäinen osa; verkkotunnuksesi tulee jo automaattisesti perään.

Yleinen virhe on täyttää koko nimi hallintapaneeliin, joka lisää verkkotunnuksen itse perään. Silloin syntyy _github-challenge-esimerkkiyritys.example.com.example.com, eikä palvelu löydä mitään. Tarkista tallennuksen jälkeen, minkä täydellisen nimen hallintapaneeli näyttää.

Useampi TXT-tietue: saako niin tehdä?

Kyllä. Samalla nimellä voi olla niin monta TXT-tietuetta kuin haluat. Googlen vahvistus ja Microsoftin vahvistus eivät ole toisensa tiellä. Jokainen palvelu etsii kaikkien TXT-tietueiden joukosta omaa koodiaan.

Poikkeuksia on kaksi, ja ne ovat tärkeitä:

• SPF (alkaa v=spf1): enintään yksi per nimi. Kaksi SPF-tietuetta tekee SPF:stäsi virheellisen (oppitunti 4.3).
• DMARC (nimellä _dmarc, alkaa v=DMARC1): enintään yksi. Kahden tietueen tapauksessa vastaanottaja käyttäytyy kuin sinulla ei olisi DMARC:ia lainkaan (oppitunti 4.5).

Jos palvelu pyytää sinua "lisäämään tämän SPF-tietueen", älä siis luo toista SPF-tietuetta, vaan täydennä olemassa olevaa.

Saako vahvistuksen poistaa myöhemmin?

Se riippuu palvelusta. Monet palvelut (kuten Google Search Console ja Microsoft 365) tarkistavat asian myöhemmin uudelleen. Jos poistat tietueen, verkkotunnuksesi voi jonkin ajan kuluttua muuttua taas "vahvistamattomaksi". Jätä se siis paikalleen, ellei palvelu erikseen sano että sen saa poistaa. Vanhan vahvistustietueen palvelusta, jota et enää käytä, voit kyllä siivota pois.

Se ei toimi heti

Jos juuri loit tietueen ja palvelu sanoo "ei löytynyt"? Se johtuu useimmiten välimuistista (moduuli 6). Jos palvelu on jo kerran kysynyt verkkotunnuksestasi ennen kuin tietue oli olemassa, se muistaa jonkin aikaa, ettei siellä ollut mitään. Odota neljännestunti ja yritä uudelleen. Sillä välin voit itse tarkistaa online-DNS-hakutyökalulla, että tietue on paikallaan (oppitunnit 8.2 ja 8.3).

Käytännössä: näin se näyttää hallintapaneelissa

Tässä esimerkissä käytämme Oma WebOkéa. Siirry verkkotunnukseen, välilehdelle DNS, ja napsauta Add Record. Valitse tyypiksi TXT, täytä Hostname-kenttään @ (tai palvelun antama nimi) ja liitä koodi arvokenttään. Lainausmerkkejä ei tarvitse kirjoittaa itse. DirectAdmin-paneelissa se toimii samalla tavalla DNS Administration -osiossa; jätä siellä TXT Record Type asetukseen Plain.

Muissa hallintapaneeleissa kentät saattavat olla nimeltään Host, Hostname tai Name ja Value, Content tai Data, mutta periaate on sama.

Yhteenveto

• TXT-tietue on tekstiä jonkin nimen kohdalla. Palvelut käyttävät sitä tarkistaakseen, että verkkotunnus on sinun.
• Kopioi koodi tarkalleen ja lisää se nimelle, jonka palvelu antaa (usein @, joskus alaviivalla alkava nimi).
• Useampi TXT-tietue samalla nimellä on sallittu, paitsi SPF:n ja DMARC:n kohdalla: niitä saa olla enintään yksi.
• Jos vahvistus ei onnistu heti, odota hetki: vastaus voi vielä olla välimuistissa.

Tietovisa

Tehtävä

Tehtävä Z4.2: Vahvistuskoodin etsiminen. Hae verkkotunnuksen wikipedia.org TXT-tietueet. Siellä on muun muassa Googlen vahvistuskoodi. Liitä koko vahvistusteksti, joka alkaa google-site-verification=.

Tehtävä O4.2: Asetukset itse harjoitusvyöhykkeessäsi. Harjoitusvyöhykkeessä käytät valeperäistä palvelua; oikealla verkkotunnuksellasi käytät tietenkin oikeaa koodia, jonka palvelu antaa sinulle. Saat tehtävää varten henkilökohtaisen koodin <koodisi> (se näyttää tältä: oefen-<koodi>-<kirjaimet>). Luo harjoitusvyöhykkeeseesi <code>.dnspractice.eu kaksi TXT-tietuetta:

1. vyöhykkeen omalla nimellä (@): dnscursus-verificatie=<koodisi>
2. nimellä _cursus-challenge: pelkästään <koodisi>

Lue lisää

Näiden artikkelien vaiheet koskevat WebOkén hallintapaneeleita; muissa hallintapaneeleissa toiminta on vastaavanlaista.

• DirectAdmin-ohje 5.6: TXT-tietueet todennusta varten (Google, Microsoft ja muut)
• DNS-tietueiden hallinta WebOkén Omat sivuilla (esimerkkejä CNAME-, TXT-tietueista ja ulkoisista palveluista)
• WebOké-käyttöopas 5.4: DNS:n hallinta: tietueiden lisääminen, muokkaaminen ja poistaminen
• RFC 1035 kohta 3.3.14 (TXT), RFC 7208 kohta 3.3 (pitkät SPF-tekstit useammassa osassa)