点了检测，结果没法用

第一次做污染排查，我输了个主域就点了检测，报告显示部分地区异常。然后呢？我不知道该找谁、该怎么处理。

问题是输入太单薄：没定义「正常」是什么，没覆盖实际使用的域名，也不知道异常结论能撑起什么动作。那次报告最后被我扔了。输入错误比检测不准更常见，多数「异常」报告的问题都出在这里，别怪工具。

域名清单

先列清楚要测哪些域名。

主域、www、API 子域、静态资源子域，凡是对外提供服务的，都应该在清单里。清单按业务入口排序，别按记忆。建议从证书的 SAN 里对一遍，证书上有的通常就是对外服务的，这个方法很省事。

污染往往不是全域名一起中招，只测一个主域，可能刚好漏掉出问题的那个。

DNS 污染检测：异常解析地址与地区分布

DNS 污染检测：异常解析地址与地区分布

记录类型

网页看 A 和 AAAA。

如果用到 CDN 或第三方服务，CNAME 也要看，链要展开，落到 CDN 的域名测法和源站不同，别拿源站 IP 去比。

业务侧真正解析的类型才是该测的类型，别查一个自己都不用的记录。同一条记录在不同运营商下还可能有不同的 CNAME，这也是要分组看的原因。

先定义正常

把权威记录查出来，作为预期值，可以用宝塔拨测的 DNS 污染检测配合权威查询对照。

没有这个基线，报告说「异常」，你也不知道该拿什么去对比。基线最好存一份截图或文本，带上时间戳，以后对比有依据。

基线还包括解析耗时的大致范围。只有值，没有时间，判断也不完整。

网络样本

按用户分布选地区和运营商。

主要用户在广东，就重点看广东三家运营商；海外有用户，加对应区域。

再留一两个对照点，用来区分「全局异常」和「局部异常」。样本要覆盖投诉来源，用户从哪来说，就从哪测，这是最直接的方法。

时间和复测

记录测试的时间窗口，精确到分钟，避开已知的维护和变更，跨时区沟通时很有用。复测前不要改任何配置，否则分不清是污染还是改动，一次只动一个变量。

结果出来后隔一段时间再跑一次，看异常是否稳定。如果两次差别很大，先怀疑缓存，缓存过期后再看一次，这能排除很多假异常，剩下的才值得深入，别急着下结论。

把这些输入准备好再点，报告才有解释力。报告里附上预期值，看的人才知道差在哪，别只写「异常」两个字，别人接不了手，这个标准要一开始就定，不然报告写出来也没人敢用。

准备得越细，结论越能落地，这一步别省。