Четыре способа спросить «всё ли в порядке с моим DNS»
Эти инструменты отвечают на разные версии вопроса «домен здоров?» — но с разным охватом: распространение проверяет одно изменение по всему миру, проверка здоровья — сразу всё, DNSSEC — конкретный уровень безопасности, а чёрные списки смотрят наружу, на репутацию, а не на настройку.
📖 Подробнее о распространении DNS — в статье: Распространения DNS не существует
Распространение DNS — дошло ли изменение до всех
Распространение DNS одновременно запрашивает одну и ту же запись у нескольких резолверов в разных регионах, показывая, дошло ли недавнее изменение до всех них.
Когда использовать: сразу после смены NS-серверов, A-записи или MX-записей; когда часть посетителей видит новый сайт, а часть — старый; чтобы объяснить клиенту, сколько времени займёт изменение.
Как читать результаты: различия между резолверами сразу после изменения — это нормально, так работает истечение TTL, а не баг. Если результаты всё ещё расходятся спустя несколько периодов старого TTL — значит, проблема действительно выше по цепочке, а не просто медленная.
NODA Check — полный аудит
NODA Check выполняет более 30 проверок: делегирование NS, запись SOA, настройка MX, авторизация почты (SPF, DKIM, DMARC), DNSSEC и чёрные списки — всё за один запуск.
Когда использовать: перед запуском нового домена или миграцией провайдера, когда письма попадают в спам и подозревается неверная настройка авторизации почты, для периодического аудита перед сбоем.
Как читать результаты: каждый раздел получает метку «пройдено / предупреждение / ошибка». Ошибка в SOA или делегировании NS требует немедленного исправления — от этого зависят все остальные записи. Предупреждения по авторизации почты часто встречаются на новых доменах и обычно означают, что запись ещё не распространилась — перепроверьте после окончания TTL.
Проверка DNSSEC — цела ли цепочка доверия
Проверка DNSSEC проходит цепочку доверия от корня до вашего домена, проверяя соответствие записей DS, DNSKEY и подписей.
Когда использовать: после включения DNSSEC у регистратора или провайдера, при диагностике внезапной недоступности домена у части пользователей (частая, неочевидная причина — именно разрыв DNSSEC), перед плановой сменой ключей.
Как читать результаты: разрыв цепочки показывается точно в месте сбоя — обычно это запись DS у регистратора, не совпадающая с DNSKEY у провайдера DNS. Именно это несовпадение — самая частая причина сбоя DNSSEC, и его стоит проверять в первую очередь.
Проверка чёрных списков — как вас видит интернет
Проверка чёрных списков проверяет IP-адрес по десяткам DNS-чёрных списков (RBL), которые почтовые серверы по всему миру используют для фильтрации спама.
Когда использовать: исходящая почта возвращается или попадает в спам; перед вводом нового сервера в эксплуатацию; расследование, не попал ли IP общего хостинга в список из-за «шумного соседа».
Как читать результаты: попадание в крупный список (Spamhaus, SORBS, Barracuda) — серьёзный сигнал, требующий немедленных действий; попадание в малоизвестный или неактивный список — часто нет. У каждого списка своя процедура исключения — следуйте конкретной ссылке из результата, а не общей процедуре.
Как это работает вместе
Сначала запустите полную Проверку здоровья DNS — она уже включает DNSSEC и чёрные списки в одном прогоне, поэтому редко нужно запускать все четыре отдельно. Распространение DNS используйте сразу после изменения, а Проверку DNSSEC отдельно — до и после плановой смены ключей, поскольку это узкое окно, где ошибку легко допустить и легко пропустить.