الخلاصة

  • يحدد draft-hoffman-duj-06 صيغة ينسخها الإنسان من خدمة ويلصقها لدى مشغّل DNS؛ وهو يستبعد التحديث الآلي والحماية التشفيرية عمداً.
  • سلامة البنية وتطبيق الحزمة ذرّياً لا يثبتان مصدرها ولا تفويض المستخدم. يجب فصل هوية الجلسة عن سلطة المنطقة وقرار السياسة ونتيجة النشر والملاحظة اللاحقة.

الرحلة الأولى ليست الثانية

تبدأ التعليمة في صفحة خدمة تريد من العميل إضافة سجل أو حذفه. ينسخها الإنسان، ثم يفتح واجهة مشغّل DNS ويسجل الدخول ويلصقها. تبدو السلسلة كأنها عبرت طريقاً واحداً، لكنها في الحقيقة عبرت علاقتين مختلفتين.

في العلاقة الأولى، قد يعرف المستخدم الخدمة من اتصال آمن، أو قد يكون أمام صفحة منتحلة أو حساب خدمة مخترق. في العلاقة الثانية، يعرف المشغّل حساب المستخدم، لكنه لا يعرف بالضرورة من أنشأ السلسلة ولا في أي جلسة عُرضت. يمكن لحافظة النص أو تذكرة دعم أو رسالة أن تكون قد توسطت بينهما.

يضع المشروع الحد بوضوح: أصالة المصدر وسلامة DUJ من الخدمة إلى المستخدم لا تتجاوزان قوة اتصال المستخدم بالخدمة، ومن المستخدم إلى المشغّل لا تتجاوزان قوة الاتصال بالمشغّل. وجود الإنسان لا يحوّل الاتصالين إلى سلسلة تفويض مشفرة.

ما الذي صار أكثر دقة

بدلاً من شرح حر مثل «أضف TXT بهذا المحتوى»، يستخدم DUJ مصفوفة JSON ذات عنصرين. الأول هو DUJS أو DUJ64، والثاني مصفوفة تحديث غير فارغة. كل قالب عمل يحوي add أو delete وسلسلة record-data بصيغة ملف المنطقة في RFC 1035.

تمنع الصيغة تعليقات وحقولاً جانبية قد تقول «تحديث أمني عاجل» لتضغط على المستخدم. اختيار المصفوفات بدلاً من كائن قابل للتوسعة مقصود، والإصدار اللاحق يحتاج معرفاً جديداً بدلاً من مفاتيح اختيارية صامتة.

تبقي DUJS البيانات قابلة للقراءة جزئياً مع منع التعليقات والتوجيهات والأسطر المضمنة. أما DUJ64 فيحمل البيانات بترميز Base64، فيقل خطر تشويه علامات الاقتباس والهروب، لكن المستخدم لا يقرأ الأثر بسهولة. يظل فعل الإضافة أو الحذف ظاهراً.

Base64 ليس تشفيراً، وI-JSON ليس توقيعاً. صحة الشكل دليل على التمثيل، لا على السلطة.

سلطة المنطقة تأتي بعد المحلل

يتحقق المشغّل من I-JSON، ومن المعرف، ومن وجود عمل واحد على الأقل، ومن FQDN صحيح بلا wildcard، ومن نوع سجل معروف أو ممثل وفق RFC 3597، ومن ملاءمة Rdata للنوع. هذه اختبارات ضرورية، لكنها لا تجيب عمن يحق له إحداث الأثر.

بعدها يجب التحقق من أن المستخدم مفوض لتغيير المنطقة المسماة في FQDN. وقد يمنع zone cut حساباً يدير المنطقة الأم من تعديل الاسم الموجود تحت طفل مفوض. كما يستطيع المشغّل رفض نوع غير معروف بسياسة محلية، أو رفض أي حزمة، مثل حزمة تضيف السجل نفسه ثم تحذفه، وينبغي أن يشرح الرفض في الواجهة.

هنا تظهر فائدة مواصفة دنيا: تتفق الأطراف على وصف المطلوب، من دون أن تسلب المشغّل قراره المحلي.

الذرية تحمي الحزمة لا مقصدها

قائمة الأعمال مرتبة. على المشغّل التأكد أولاً من إمكان تطبيقها كلها ذرّياً. إذا منع عمل واحد تطبيق المجموعة كاملة فلا يجوز تنفيذ بعضها. هذا يمنع حذف قيمة قديمة ثم الفشل قبل تثبيت البديل.

لكن الحزمة الخبيثة قد تكون ذرية أيضاً. وقد يكون طلب قديم متماسكاً تماماً، أو تكون التعليمات الصحيحة لحساب آخر. الذرية تجيب: هل التغييرات وقعت معاً؟ لا تجيب: هل كان ينبغي أن تقع؟

لهذا يحتاج القرار إلى أصل الطلب، وحساب المستخدم، ونطاق صلاحياته، وسياسة المشغّل، وحالة السجلات قبل التغيير. لا يجوز لحالة واحدة باسم «صالح» أن تحل محل هذه السلسلة.

ماذا يعني أن يكون التغيير قد تم

قد يتكرر الطلب فيجد سجل الإضافة موجوداً بالضبط، أو سجل الحذف غائباً. يسمح المشروع بتخطي هاتين الحالتين، ويطلب التحقق من الوجود أو الغياب، ويوصي بإخبار المستخدم بكل تغيير أُنجز.

لذلك ينبغي أن يربط إيصال تشغيلي بصمة الحزمة بالحساب والمنطقة وأساس التفويض وقرار السياسة وRRset قبل وبعد، والأعمال المتخطاة، ومعرف المعاملة الذرية ووقتها. هذا الإيصال المفصل توصية من هذا المقال، لا نصاً معيارياً في النسخة 06.

ثم تأتي طبقة النشر. نجاح المعاملة الخلفية لا يضمن أن الخوادم السلطوية حملت الحالة، ولا أن الخوادم الثانوية لحقت، ولا أن المحللات تجاوزت TTL، ولا أن خدمة الشهادة أو البريد رأت المنظور نفسه. يلزم فصل الإذن عن commit، وفصل commit عن الملاحظة السلطوية، وفصل الملاحظة عن حكم الخدمة النهائية.

حالة الوثيقة وحدود الدليل

رُفعت النسخة 06 في 26 سبتمبر 2026 وتنتهي في 30 مارس 2027. يعرضها Datatracker كمسودة إنترنت فردية نشطة بلا RFC stream ولا مكانة رسمية في عملية معايير IETF. عبارة Standards Track المقصودة في النص لا تعني تبني مجموعة عمل أو إجماعاً أو اعتماداً أو RFC.

يغيّر الفرق المجمد بين 05 و06 الرقم والتواريخ فقط. ولا تثبت المصادر تنفيذاً أو تشغيلاً أو توافقاً بينياً أو انتشاراً أو حادثة أو أداءً أو نتيجة تجارية. التحليل هنا لحدود الآلية المقترحة.

المصادر