قبل الموافقة DKIM التفويض، اطلب تغيير DNS الدقيق وهوية التوقيع التي سيتم تمكينها. تعد "إضافة سجلات DNS الخاصة بنا" تعليمات فضفاضة جدًا لإجراء مراجعة أمنية. أ محدد CNAME، يمنح تفويض NS والوصول إلى حساب DNS بأكمله أشكالًا مختلفة من التحكم.
رسم الحدود قبل الموافقة عليها
يقوم CNAME في اسم مالك محدد واحد بتوجيه الدقة من خلال هدفه. يمكن للموفر الذي يتحكم في هذا الهدف تغيير بيانات التحقق التي يتم الوصول إليها من خلال الاسم المستعار. ولا يمنح في حد ذاته الإذن بتحرير الأسماء التعسفية في منطقتك. ينشئ تفويض NS حدود المنطقة ويمنح الخوادم المفوضة المسؤولية عن الأسماء الموجودة تحتها، وفقًا للتسلسل DNS . يمكن أن يكون الوصول الإداري للحساب بالكامل أوسع بكثير. RFC 1034 §3.6.2 و RFC 1034 §4.2 وصف آليات DNS هذه.
اكتب اسم المالك والشجرة الفرعية المتأثرة في الموافقة. طلب ل service1._domainkey.example.com يختلف عن السيطرة على كامل _domainkey.example.com شجرة فرعية. لا تستبدل السجل الضيق الذي يدعمه الموفر بتفويض واسع لمجرد أنه يبدو أسهل في التشغيل الآلي.
تمييز نطاق DNS عن تأثير التوقيع
يحصل التحقق DKIM على مفتاح باستخدام محدد التوقيع ومجال التوقيع. يمكن للتحكم في بيانات التحقق الخاصة بالمحدد القابل للاستخدام، جنبًا إلى جنب مع مفتاح التوقيع الخاص المطابق، تمكين التوقيعات الصالحة لمجال التوقيع هذا. وبالتالي فإن الضيق الواضح لاسم DNS واحد لا يعني أن نتيجة ثقة البريد الإلكتروني لا تذكر.
يوضح المثال الاصطناعي التمييز. يتلقى المزود CNAME في invoices._domainkey.example.com ويقوم بتشغيل المُوقع المطابق لـ d=example.com. يقتصر وصول DNS الخاص به على الاسم المستعار المستهدف، ولكن يمكن لهذا المُوقع إنتاج توقيعات تدعي المسؤولية منها example.com. لا يؤدي محدد الفواتير المسمى في حد ذاته إلى تقييد التوقيعات على الفواتير أو مستلمين محددين أو حملة معتمدة. يجب أن تفرض ضوابط التطبيق والحساب تلك الحدود.
إذا كنت تستخدم نطاقًا فرعيًا مخصصًا للإرسال، فقم بتقييم ما ينطبق DMARC تنسيق القواعد أيضا. لا يؤدي فصل المجال الفرعي إلى عزل المحاذاة المريحة تلقائيًا. RFC 9989 §4.4 يصف كيفية مقارنة المعرفات المصادق عليها مع مجال المؤلف؛ مسألة تحديد السياسة والمجال التنظيمي.
اجمع الأدلة التي تجيب على سؤال الموافقة
اطلب تعليمات الموفر الحالية والأسماء التي تم إنشاؤها ومعرف الحساب ومجال التوقيع المدعوم ونموذج التناوب. تحقق من من يمكنه تغيير هذه القيم داخل حساب الموفر وما إذا كان فصل الأدوار متاحًا أم لا. اسأل عن إغلاق الحساب والتعامل مع نظام أسماء النطاقات القديم، دون افتراض الضمانات التعاقدية التي لم يتم تقديمها.
أنشئ سجلًا مضغوطًا: مالك DNS أو نوع السجل أو الوجهة أو خوادم الأسماء، صاحب الخدمة، المقصود d= الهوية ومستخدمو المزود المميز وتاريخ التجديد وإجراءات التقاعد. بالنسبة لتفويض NS المقترح، قم بفحص الشجرة الفرعية المتأثرة بالكامل بحثًا عن المحددات الموجودة قبل الموافقة عليها. بالنسبة لطلب الوصول إلى الحساب، تساءل عن سبب عدم كفاية التعليمات لكل سجل أو الدور المدعوم الأضيق.
اختبار الإعداد وإنهاء الخطة
بعد التغيير المعتمد، قم بمقارنة ملاحظات DNS الرسمية والمتكررة وأرسلها عبر الخدمة المقصودة. افحص نتيجة DKIM لجهاز الاستقبال الموثوق به ومواءمته. يجب أن يوضح الاختبار الهوية الممنوحة، وليس مجرد إظهار نجاح بعض التوقيعات.
عند الإنهاء، قم بإيقاف الوصول إلى التطبيق، وقم بإزالة بيانات اعتماد الإرسال القديمة وتنسيق انسحاب المحدد مع قوائم انتظار التسليم وعملية الموفر. إذا كان الموفر مشتبهًا في قيامه بتسوية، فاستدعاء الاستجابة للحادث بدلاً من الحفاظ على التداخل الروتيني تلقائيًا. لا يزال من الممكن أن تظل الخدمة التي تم وضع علامة عليها غير نشطة في سجلات المشتريات تمثل تبعية فنية مباشرة.
قم بتوثيق الثقة المتبقية بشكل صريح: ما الذي يمكن للموفر التوقيع عليه، ومن يمكنه إدارته، ومدى سرعة قيام المؤسسة بإزالة التبعية. يجعل هذا السجل التجديدات اللاحقة بمثابة مراجعة للسلطة الفعلية بدلاً من تكرار تذكرة DNS الأصلية.
قارن بين ثلاثة طلبات موافقة افتراضية
استخدم النطاق والنتيجة معًا:
- محدد CNAME واحد: قم بمراجعة مالكه وهدفه الدقيقين والهوية المقصودة وعناصر التحكم في حساب الموفر. وهو لا يمنح حق الوصول التعسفي لتحرير المنطقة، ولكن تعيين المفاتيح الخاص به يمكن أن يتيح التوقيع على تلك الهوية.
- تفويض NS أدناه _domainkey.example.com : جرد المحددات ضمن تلك المنطقة المفوضة ومن يتحكم في خوادمها الموثوقة. قد تتأثر المحددات الحالية أو المستقبلية هناك، مع مراعاة المزيد من التخفيضات في المنطقة.
- الوصول الكامل إلى حساب DNS : يتطلب حاجة صريحة ويفحص الأذونات الفعلية للحساب. وقد يصل إلى سجلات البريد والويب غير ذات الصلة؛ وهذا لا يعادل نشر اسم مستعار محدد واحد.
هذه سيناريوهات مراجعة، وليست تفويضات أو تغييرات تم إجراؤها على منطقة حقيقية. إذا كان النطاق أو الملكية المحددة غير معروفة، فقم بحل هذه الفجوة قبل الموافقة.
القراءة ذات الصلة
نشر DKIM TXT و CNAME : اتبع نموذج إدارة المفاتيح الخاص بالموفر · قم بإلغاء مفتاح DKIM وتمييز الإلغاء عن سجل DNS المفقود.