Карта зависимостей домена
Работающий домен зависит от нескольких аккаунтов в нескольких компаниях, которые обычно открывали разные люди в течение нескольких лет. Некоторые из этих людей уже ушли. Эта карта называет аккаунты по открытым данным и даёт лист, где можно отметить, кто ещё может войти в каждый из них.
Аккаунты поверх аккаунтов
Представьте домен как здание с главным рубильником и несколькими линиями под ним.
Аккаунт у регистратора это рубильник. Тот, кто в него входит, может продлить имя, дать ему истечь, перенести его к другому регистратору или направить на другие серверы имён. Следом идёт аккаунт DNS: он решает, какой сервер принимает посетителей сайта, а какой почту. Ниже DNS линии идут параллельно: веб-хостинг, CDN перед ним, почтовый провайдер и каждый сервис рассылок, выставления счетов или поддержки, который отправляет письма от вашего имени.
Этот порядок важен в тот день, когда что-то ломается. Потерянный пароль от сервиса рассылок это неприятность. Аккаунт у регистратора, привязанный к личной почте человека, ушедшего три года назад, может стоить вам домена, потому что и напоминание о продлении, и сброс пароля уходят на этот адрес.
Откуда берётся каждая строка карты
Для этого нам не нужен доступ ни к одному вашему аккаунту. Каждая строка выводится из того, что домен уже публикует.
| Роль | Откуда читается | Типичный признак |
|---|---|---|
| Регистратор | Запись RDAP в реестре | Название регистратора, дата окончания, запрет переноса |
| DNS | Записи NS | ns-123.awsdns-45.com означает Amazon Route 53 |
| Хостинг сайта, CDN | Запись A, сеть, которой принадлежит IP-адрес, его обратное имя, CNAME для www | shops.myshopify.com или адрес внутри сети Cloudflare |
| Почта | Записи MX | aspmx.l.google.com означает Google Workspace |
| Отправка от имени домена | Элементы include: записи SPF, с проходом на один уровень вниз | include:servers.mcsv.net означает Mailchimp |
| Отчёты DMARC | Адрес rua= в _dmarc | Ящик у сервиса отчётов |
| Аккаунты, привязанные к домену | Проверочные записи TXT | google-site-verification=…, MS=ms… |
Роли, которые принадлежат одной компании, объединяются в один аккаунт. Например, DNS и CDN в Cloudflare обычно означают один вход. Элемент SPF, которому инструмент не может подобрать название, помечается как неопознанный. Спросите о таких у своей команды: каждый из них это сервис, которому разрешено отправлять почту от вашего имени.
Отмечаются две вещи: дата окончания меньше чем через 60 дней (красным, если меньше 30) и домен без запрета переноса.
Заполнение листа доступа
Под картой есть таблица: по строке на аккаунт и четыре столбца. Заполните её прямо здесь или распечатайте пустой. То, что вы вводите, остаётся на странице в вашем браузере и никогда нам не отправляется.
- У кого есть доступ
- Имена людей, которые могут войти сегодня. Проверьте это на деле: вход, которым никто не пользовался два года, может уже не работать.
- На кого оформлен аккаунт
- Адрес электронной почты, на который зарегистрирован аккаунт. Туда приходят счета и ссылки для сброса пароля.
- Двухэтапный вход?
- Нужен ли второй фактор для входа и чей это телефон или ключ.
- Пароль общий?
- Может ли до него добраться больше одного человека, в идеале через общее хранилище паролей. Никогда не записывайте сам пароль на листе.
Три дополнительные строки предназначены для того, чего DNS никогда не показывает: вход в административную часть самого сайта и две свободные строки для таких вещей, как аналитика, аккаунт в магазине приложений или профили в соцсетях.
Как укрепить хрупкую строку
- Аккаунт на личном адресе. Смените почту аккаунта на ролевой адрес в вашем домене, например
it@илиaccounts@, который получают как минимум два человека. - Только один администратор. Регистраторы и DNS-хостинги вроде Cloudflare, GoDaddy и Namecheap позволяют пригласить второго пользователя со своим собственным входом. Сделайте это вместо того, чтобы передавать один пароль из рук в руки.
- Регистратор у бывшего подрядчика. Попросите перенести домен на аккаунт, который контролируете вы. Понадобится снять с домена запрет переноса и получить код авторизации (его также называют EPP-кодом). Начните задолго до даты окончания: перенос может занять до пяти дней.
- Сервис, который никто не узнаёт. Если он действительно больше не используется, удалите его
include:из SPF или его проверочную TXT-запись. Сначала убедитесь с помощью проверки SPF, DKIM и DMARC, что почта по-прежнему проходит.
Карта это первая инвентаризация, и она не будет полной. Перед настоящим регистратором может стоять реселлер, CDN скрывает хостинг за собой, а спам-фильтр скрывает почтового провайдера. Платёжные сервисы, аналитика и большинство программных подписок вообще не оставляют следов в DNS.
Частые вопросы
Как узнать, кто регистратор моего домена?
Введите домен выше. Регистратор берётся из открытой записи RDAP в реестре, и обращаться нужно в указанную там компанию, даже если за имя вы платили веб-агентству или реселлеру.
Как узнать, где размещён сайт?
Карта выясняет, какой сети принадлежит IP-адрес сайта, и читает CNAME для www. Если сайт стоит за CDN вроде Cloudflare, настоящий хостинг скрыт, и вы увидите только CDN. Поиск хостинга даёт больше подробностей.
Человек, который регистрировал наш домен, ушёл. Что делать?
Начните со сброса пароля у регистратора через почту аккаунта, если ваша организация всё ещё контролирует этот ящик. Если нет, обратитесь в поддержку регистратора с доказательствами того, что владелец домена ваша организация: счета, регистрационные документы компании, имя владельца в записи. Сделайте это до даты окончания, а не после.
Почему карта показывает сервис, которым мы больше не пользуемся?
Потому что его DNS-запись всё ещё на месте. Почти никто не удаляет проверочные TXT-записи и элементы include в SPF, когда подписка заканчивается. Удалите их, когда убедитесь, что сервис больше не нужен.
Сохраняется ли где-нибудь то, что я ввожу в лист доступа?
Нет. Поля существуют только на открытой у вас странице. Если закрыть или перезагрузить вкладку, они сотрутся, поэтому распечатайте лист или сохраните его в PDF перед уходом.