Миграция DNS и почты доменов на Cloudflare с DNSSEC, SPF/DKIM/DMARC и нулевым простоем

Исходная ситуация: есть 18 доменов (10 .com, 6 .ru, 2 .io) у двух регистраторов. DNS сейчас на старом хостинге (BIND), часть зон ведётся вручную, часть - через панель. Почта - Microsoft 365 для 2 доменов и Google Workspace для остальных. Для 6 доменов используются поддомены клиентов и делегирование NS на внешние системы. Периодически случаются простои из-за ошибок в зонах и неконсистентных TTL. Цель - перевести авторитетный DNS на Cloudflare, включить DNSSEC, привести почтовую аутентификацию к единому стандарту и настроить мониторинг изменений.

Техническая среда и ограничения: доступ к регистраторам по аккаунтам заказчика, доступ к текущему DNS-экспорту BIND и к панелям M365/GWS будет предоставлен. Нельзя менять IP-адреса веб-сервисов и почтовых провайдеров. Нельзя прерывать доставку почты, критично сохранить все MX, TXT (SPF), DKIM селекторы и существующие записи валидации. Окно работ - будни 20:00-01:00 UTC+3. Для 4 доменов нельзя включать проксирование через Cloudflare для A/AAAA, только DNS-only. Требуется учёт особенностей .ru по DNSSEC и DS-записям у регистратора.

Задачи по этапам:
1) Инвентаризация и аудит текущих зон - собрать фактические записи из BIND/панели, выявить расхождения, оценить текущие TTL, найти устаревшие записи, понять цепочки делегирования поддоменов и зоны со split-horizon (если есть).
2) Проектирование целевой схемы DNS в Cloudflare - шаблонные настройки, правила именования, TTL-политика, где допустим proxy, где строго DNS-only, подготовка списка зон и владельцев.
3) Почтовая часть - нормализовать SPF без превышения 10 DNS lookup, настроить/проверить DKIM для каждого домена (для M365 и GWS), сформировать DMARC с поэтапным ужесточением политики и отчётами (rua/ruf), учесть поддомены, которые отправляют почту.
4) Включение DNSSEC - включить в Cloudflare, корректно подготовить DS для каждого регистратора, выполнить публикацию DS и проверить цепочку доверия.
5) Миграция с нулевым простоем - предварительно снизить TTL, синхронно перенести записи, выполнить переключение NS у регистраторов, контролировать распространение, откатный план на случай проблем.
6) Мониторинг и контроль изменений - настроить базовый мониторинг DNS и почтовых записей (например, через DNSControl/Git, Cloudflare API и периодические проверки), включить уведомления об изменениях зон, подготовить краткую инструкцию для дальнейшего сопровождения.

Конкретный результат: все 18 доменов обслуживаются Cloudflare как авторитетный DNS, DNSSEC включён и валиден, почта доставляется без деградации, SPF/DKIM/DMARC настроены и проверены, делегирования поддоменов сохранены, внедрён контроль изменений зон через репозиторий и автоматическую проверку.

Измеримые критерии приёмки:
- Для каждого домена: корректные NS у регистратора и совпадение набора критичных записей (A/AAAA/CNAME/MX/TXT/SRV/CAA) с исходным состоянием, кроме заранее согласованных чисток.
- DNSSEC: проверка через независимые валидаторы показывает статус OK, цепочка доверия строится (DS опубликован), нет SERVFAIL по основным резолверам.
- Почта: для каждого домена успешная проверка SPF, DKIM, DMARC (pass) на тестовых письмах, DMARC-отчёты начинают приходить на указанный адрес, SPF не превышает лимиты.
- Делегирования: поддомены с внешними NS продолжают резолвиться так же, как до миграции, без изменения target NS.
- Время недоступности DNS/почты - 0 минут по данным мониторинга (допускаются только изменения TTL и распространение NS без потери резолва).

Артефакты: файл(ы) зон/конфигураций (например, DNSControl/terraform для Cloudflare или экспорт через API), таблица соответствия записей до/после, список DS по доменам, краткая эксплуатационная инструкция и чеклист отката.