يمكن لوكيل الذكاء الاصطناعي الذي يمكنه إرسال البريد أن يخلق عواقب تجارية حتى عند مرور كل رسالة SPF, DKIM و DMARC. تتناول المصادقة جوانب هوية مجال الإرسال؛ ولا يثبت أن الرسالة كانت مصرح بها أو دقيقة أو مناسبة. قم بإدارة إجراء الإرسال كإمكانية منفصلة ذات غرض محدد ونطاق المستلم.
تحديد ما يمكن للوكيل التواصل معه
حدد حالات الاستخدام المعتمدة وحساب الإرسال ومصادر المستلمين وحدود الحجم وقواعد المرفقات ومتطلبات المراجعة. يجب ألا تشترك ملخصات الحالة الداخلية الروتينية والالتزامات التعاقدية في نفس مسار الموافقة المستقلة. قم بتقييد المستلمين الخارجيين والمحتوى الحساس وفقًا لسياسة المنظمة، وتحديد من يمكنه تغيير تلك السياسة.
يمكنك استخلاص هوية المستلم من دليل موثوق به أو عنوان معتمد بشكل صريح، وليس من تعليمات مضمنة في بريد إلكتروني يتم تحليله. إن الرسالة التي تفيد بإرسال التقرير إلى هذا العنوان الجديد هي دليل للتقييم، وليس تفويضًا تلقائيًا. OWASP الحقن الفوري يشرح لماذا يمكن للنص الخارجي أن يتلاعب بسلوك الوكيل إذا تم التعامل معه على أنه تعليمات.
أبقِ سلطة الإرسال منفصلة عن القراءة
استخدم هوية إرسال مع صندوق البريد وأذونات واجهة برمجة التطبيقات (API) الضرورية فقط. يجب ألا يحصل تكامل قراءة التقرير على سلطة الإرسال أو الإرسال بالنيابة بصمت. احتفظ بإنشاء المسودة والموافقة عليها وإرسالها كأحداث مسجلة منفصلة. قبل الإرسال، أعد فحص المستلمين والموضوع والنص والمرفقات مقابل النسخة المعتمدة.
وكالة OWASP المفرطة توصي بالحد من الوظائف والأذونات المكشوفة وفرض التفويض في اتجاه مجرى النهر. قم بتطبيق عناصر التحكم هذه في بوابة الإرسال حتى لا يتمكن النموذج من تجاوزها باستخدام أداة HTTP عامة أو واجهة برمجة تطبيقات البريد البديلة. تعمل حدود المعدل ومفتاح الإيقاف على تقليل التأثير ولكنها لا تحل محل ترخيص المستلم والمحتوى.
اختبار سير عمل الإرسال المحدود
بالنسبة للخطة المكتوبة SEND-01، افترض المستأجر-A/service-mailbox، من status@example.invalid ، والمستلم ops@example.invalid ، والحالة الروتينية للموضوع، واكتملت مراجعة الجسم؛ لا يوجد تغيير مقترح، ولا مرفقات، والحالة الداخلية للغرض. جميع الهويات توضيحية ولم يتم توفير أي بيانات اعتماد أو موافقة فعلية.
بموجب قاعدة البوابة المقترحة، يمكن أن يصبح الكائن الدقيق الذي يتمتع بموافقة محمية صالحة ومعرف عملية غير مستخدم مؤهلاً للإرسال. يجب أن يقوم مستلم خارجي جديد، أو مرفق، أو غرض تعاقدي، أو نص تم تغييره، أو تم تغييره من، أو حساب مختلف أو معرف العملية المعاد استخدامه بإيقافه. يجب ألا يتجاوز مسار HTTP العام نفس حدود التفويض. هذه قرارات متوقعة وليست اختبارات منفذة.
في الإنتاج، قم بالتمييز بين الطلب المقبول من قبل الموفر والتسليم المستلم. في حالة فقدان استجابة الإرسال، قم بفحص معرفات الرسالة أو العملية المتوفرة قبل إعادة المحاولة لتجنب البريد المكرر. يختلف دعم العجز لدى مقدم الخدمة؛ لا يمكن لحارس إعادة التشغيل المحلي وحده إثبات التسليم مرة واحدة بالضبط عبر فشل الشبكة.
احتفظ بسلسلة عمل قابلة للفحص
التسلسل المقترح هو استرجاع التقرير المعتمد، وإنشاء المسودة، والقرار البشري المعتمد، والتحقق من صحة بوابة التنفيذ، وتقديم المزود ومراقبة التسليم المنفصلة. سجل أي مكون يملك كل خطوة. لا يتوفر معرف طلب الموفر وإيصال الموافقة والطابع الزمني للإرسال ونتيجة التسليم في هذا المثال. لم يتم تشغيل أي محول موفر أو حارس محلي أو اختبار إعادة التشغيل، ولم يتم إرسال أي رسالة.
مصادقة ومراجعة مسار البريد الفعلي
قم بتكوين المصادقة الموثقة لخدمة الإرسال للنطاق من المحدد وتحقق من رسائل الاختبار المعتمدة لدى أجهزة الاستقبال. RFC 9989 يشرح تنسيق، بينما DKIM يفصل مسؤولية الموقع عن المؤلف المزعوم. لا يشهد أي من البروتوكولين على صحة البيان الذي تم إنشاؤه بواسطة الذكاء الاصطناعي.
احتفظ بتخويل المستخدم أو الخدمة، وإصدار المحتوى المعتمد، وقرار المستلم، ونتيجة الإرسال وأدلة التسليم اللاحقة ضمن ضوابط الاحتفاظ المناسبة. توفير طريقة لتعليق الإرسال فورًا دون تعطيل التشخيص للقراءة فقط. إذا تم إرسال رسالة غير مصرح بها، فتعامل معها على أنها حادثة اتصال؛ لن يؤدي إصلاح DNS إلى سحب محتوياته.