泄露来源排查清单
泄露来源排查清单
1. 历史 DNS：迁移前的 A 记录（被动 DNS 服务可查）
2. 证书日志：直接签发给源站域名的证书
3. 邮件头与第三方回显：外发邮件/Webhook 中暴露的源站地址
4. 扫描比对：对自有 IP 段扫描，比对与主站一致的响应特征收敛动作
收敛动作
1. 源站防火墙仅放行 CDN 回源 IP 段/校验头
2. 必要时更换源站 IP 并同步更新回源配置
3. 清理历史 DNS 与不再使用的直接解析
4. 定期复测：从多个外部节点验证源站不可直连源站保护的验证标准是『直连不可用、经 CDN 可用』：只看 CDN 配置看不出泄露。