Отчёт о состоянии домена

За одним именем стоят три стороны

Домен никогда вам не принадлежит. Вы арендуете его на год, и чтобы он жил, нужны три отдельные стороны.

Реестр

Оператор доменной зоны: Verisign для .com, Nominet для .uk, DENIC для .de. Он хранит главный список того, кто какое имя арендует и до какого числа.

Регистратор

Магазин, где вы платите: Namecheap, GoDaddy, Gandi, Cloudflare. Он вносит ваши данные в реестр от вашего имени.

DNS-хостинг

Компания, которая держит ваши NS-серверы, машины, отвечающие на вопрос «какой адрес у этого имени?». Часто это тот же регистратор, но не обязательно.

Когда аренда истекает или NS-серверы перестают отвечать, сайт и все почтовые ящики домена исчезают одновременно. На вашем веб-сервере ничего не менялось, поэтому изнутри такой сбой кажется необъяснимым.

Что проверяет отчёт

Если ввести поддомен, отчёт поднимется до зарегистрированного домена, потому что продление и делегирование происходят на этом уровне.

Отсутствие записи CAA или AAAA показывается как необязательное, а не как ошибка. То же касается DNSSEC, который просто выключен.

Как читать строку DNSSEC

DNSSEC добавляет подписи к ответам DNS, чтобы резолвер мог доказать, что их никто не изменил по дороге. Он работает в паре. Зона публикует свои открытые ключи (DNSKEY), а реестр публикует отпечаток одного из них (DS). Резолвер сверяет одно с другим.

• Выключен: в реестре нет DS. Домен работает точно так же, как большая часть интернета.
• Включён и действителен: DS и ключи совпадают, а 1.1.1.1 помечает ответ как проверенный.
• Сломан или Недействителен: реестр всё ещё объявляет отпечаток, но зона не подписана или подписана другим ключом. Проверяющие резолверы, включая Google Public DNS, Cloudflare и Quad9, тогда возвращают SERVFAIL, и для их пользователей домена как будто не существует.

Это последнее состояние почти всегда возникает после переезда на новый DNS-хостинг, когда старая DS осталась у регистратора. Наполовину включённый DNSSEC хуже, чем никакой, поэтому относитесь к нему как к сбою.

Как исправить то, что нашлось

• Срок скоро истекает. Продлите сейчас, включите автопродление, затем проверьте, что привязанная карта и контактный адрес почты ещё действуют. Большинство потерянных доменов получили напоминание о продлении в ящик, который уже никто не читает.
• Нет блокировки. Ищите в панели регистратора «Transfer lock», «Domain lock» или «Registrar lock». Это ставит clientTransferProhibited и ничего не стоит.
• Молчащий NS-сервер. Если он принадлежит прежнему хостингу, уберите его из списка у регистратора. Резолверы выбирают среди перечисленных серверов, поэтому одна мёртвая запись делает часть запросов медленными или неудачными.
• Серийные номера расходятся. Разница в несколько минут после правки нормальна. Если она держится час, вторичный сервер перестал копировать зону, и пора связаться с DNS-хостингом. Домен, намеренно разделённый между двумя DNS-провайдерами, всё время показывает два серийных номера, и это ожидаемо.
• Сломанный DNSSEC. Либо удалите запись DS у регистратора, либо подпишите зону у нового DNS-хостинга и вставьте его значения DS. Не оставляйте старый отпечаток на месте.
• Почта не нужна. Домен, который не должен ничего получать, может сообщить об этом нулевой записью MX: example.com. MX 0 .