第6章
邮箱与域名卫生
6.1 学习目标
- 用转移锁（registrar lock）防止域名被非法转移。
- 理解什么是DNSSEC、何时应开启以及如何检查。
- 配置基本邮件记录：MX、SPF、DKIM、DMARC。
- 清理"悬空"DNS记录，系统地管理续费。
6.2 概念
域名转移锁
转移锁（例如clientTransferProhibited状态）可防止域名在未解锁时被转移到其他注册商。许多国际域名的注册商默认开启；国家顶级域名则可能是需要单独申请的服务。务必检查，不要想当然。
域名服务器与DNS
- 注册商是你租用域名的地方。DNS服务商负责回答"这个域名指向哪里"。两个角色可以在两家不同的公司。
- 注册商处的NS记录必须正确指向DNS服务商的域名服务器。
DNSSEC
DNSSEC对DNS应答进行数字签名，防止伪造。开启通常分两步：（1）在DNS服务商处开启签名，（2）将DS记录提交给注册商。更换DNS服务商时，必须先删除旧的DS，否则域名可能从互联网上"消失"。
邮件记录
| 记录 | 作用 |
|---|---|
| MX | 指定为该域名接收邮件的服务器 |
| SPF | 列出允许以该域名名义发信的服务器 |
| DKIM | 外发邮件上的数字签名 |
| DMARC | 邮件未通过SPF/DKIM时的策略；接收伪造报告 |
不发邮件的域名也应设置"任何人都不得发信"的SPF和拒绝策略的DMARC，以防骗子冒用。
悬空记录
指向你已注销服务（旧主机、旧网站平台）的记录。攻击者可以重新注册该资源，劫持你的子域名。
6.3 示例
A先生的域名分布在两家注册商，但DNS统一放在一家服务商。他建立了跟踪表：
| 域名 | 注册商 | NS正确 | DNSSEC | 转移锁 | MX/SPF/DKIM/DMARC | 悬空记录 |
|---|---|---|---|---|---|---|
| example.vn | 注册商X | 正确 | 已开启，已提交DS | 已申请 | 4项齐全 | 无 |
| example.com | 注册商Y | 正确 | 已开启 | 开启 | 4项齐全 | 1条记录指向旧网站平台：删除 |
| example-shop.net | 注册商Y | 正确 | 未开启 | 开启 | 不发信：SPF -all，DMARC reject | 无 |
6.4 常见错误
- 用该注册商所管理域名上的邮箱登录该注册商。
- 开启DNSSEC后更换DNS服务商，却忘了删除DS。
- 让DMARC永远停留在"none"模式且从不阅读报告。
- 不知道注册商和DNS账户是否开启了2FA。
6.5 检查清单
6.6 练习
- 查询示例域名的whois状态，找到转移锁状态行。
- 为一个不用于发信的域名编写SPF/DMARC记录。
- 列出你DNS区域中的所有CNAME记录，标注哪些服务仍在使用。
6.7 小结
- ROOT域名需要转移锁、DNSSEC、自动续费，以及有独立入口的注册商账户。
- 注册商和DNS是两个不同的角色；两者都要管理。
- 清理悬空记录是定期工作。