Why DMARC's new "NP" tag can fail with DNSSEC
7 days ago
- #DMARC
- #Cybersecurity
- #DNSSEC
- DMARC 新引入的 np 标签（子域名不存在策略）通过 RFC 9989 定义，旨在对不存在的子域名应用策略。
- RFC 9989 基于 NXDOMAIN 响应代码定义不存在的域名，但 RFC 9824（DNSSEC 中的紧凑型存在性否定）为 DNSSEC 使用 NOERROR 响应及 NXNAME 位，两者存在冲突。
- 许多 DNS 提供商（如 Cloudflare、AWS Route 53）采用紧凑型否定，因此 NXDOMAIN 通常不被返回，导致 DMARC 实现中的 np 标签失效。
- DMARC 实现通常严格检查 NXDOMAIN，且不支持 DNSSEC 或 NXNAME 位，因此 np 标签可能无法在 DNSSEC 签名的域名上生效。
- IETF 讨论尚未解决此问题；解决方案包括 DMARC 软件检查 NXNAME 位，或通过 CO 标志更广泛地恢复 NXDOMAIN 使用。
- 域名所有者应假设 np 标签可能无法可靠工作，特别是在使用 DNSSEC 及采用紧凑型否定的大型 DNS 提供商时。