NIS2: DNS, което одиторът може да заяви

Член 21 на NIS2 не съдържа реда „сложете DMARC“. Иска хигиена, криптография, засичане и верига на доставки. Одиторът чете записа, видим отвън, не изречението в PDF с политика. Ако записът липсва, намерението не е доказателство.

Дали магазинът ви е в обхват и какво да казва хостинг договорът след влизането в сила в България на 17 февруари 2026, е отделна статия. Тази е само DNS слоят, който някой може да заяви.

Пет неща, видими отвън

• DMARC: p=none събира отчети. Не спира фалшификат. Налагаща политика е p=quarantine или p=reject, плюс rua адрес, който някой чете. Нечетен адрес за отчети не е засичане.
• DKIM: Подписът е конкретният запис, който хората връзват към очакването за криптография. Ключът стои в DNS. Писмото го носи.
• DNSSEC: Ако зоната не е подписана, на този слой нямате доказателство срещу отравяне на кеша. Пробвайте веригата срещу неймсървъра, преди да включите. Счупена верига сваля сайта.
• CAA: Ограничава кой може да издаде сертификат. Да го оставите отворен не спира CA, която не ползвате, да издаде за вашето име.
• SPF: Трети страни, които идват като include, стигат permerror след десетата заявка. Счупен SPF събаря изречението „имаме пощенска хигиена“.

Какво не се брои

Ред в PDF „DNS е сигурен“ не замества записа, който dig връща. Хостинг договорът може да опише архив и място. Той не пише DMARC върху вашия домейн. Ако зоната е във вашата сметка, записът е ваша работа. Неймсървърите на EuroVDC ns1.eurovdc.eu и ns2.eurovdc.eu публикуват само реда, който сте въвели.

Формата на записа не е доказателство. Живата заявка е

Одиторът не иска примерен абзац. Иска записа, който се резолва сега. Формата изглежда така. Поставянето й не ви вкарва в обхват:

• DMARC: v=DMARC1; p=reject; rua=mailto:dmarc@firma.bg. p=none е същият ред без налагане.
• CAA: 0 issue "letsencrypt.org". Пишете го само ако това е издателят, който ползвате, за да не издаде друг за вашето име.
• DNSSEC: подписът е в зоната, DS е при регистратора. Ако едното липсва, сайтът пада „защото сигурността е включена“. Първо тест, после DS.

Неймсървърите на EuroVDC публикуват реда, който сте въвели. Да го залепите в договор не кара заявката да мине.

Често задавани въпроси

Малък сайт трябва ли да го прави?

Обхватът зависи от оборот и сектор. Другата статия го разделя. И извън обхват p=none не спира фалшива поща. Записът е евтин. Извинението не е.

MTA-STS задължителен ли е?

Член 21 не го именува. Ако не искате входящата поща да пада на чист текст, публикувате и TXT, и /.well-known/mta-sts.txt. Само TXT не стига.

Да включа ли DNSSEC днес?

Да, ако веригата и неймсървърът са готови заедно. Половин подпис сваля сайта „за сигурност“. Първо тест, после DS.

Одиторът влиза ли в панела на EuroVDC?

Обикновено иска записа, който всеки може да заяви, не панела. Този запис го публикувате вие.