ابدأ بالهوية القديمة، وليس تضمين نظام التعرف على هوية المرسل SPF الذي تم تخمينه
لا يعد إدخال المخزون المسمى "Roaring Penguins" كافيًا لتكوين المرسل. اسم الشركة التاريخي هو Roaring Penguin Software، وتضمنت منتجاتها العديد من إصدارات CanIt. قبل تحرير DNS ، حدد ما تستخدمه المؤسسة فعليًا: إصدار جهاز أو برنامج مثبت، أو خدمة مستضافة، أو مسار يديره البائع، أو علامة تاريخية تُركت بعد الترحيل. توفر هذه المقالة سير عمل التدقيق والأدلة، وليس وصفة نشر حالية تم التحقق منها.
يصف إصدار نوفمبر 2010 الصادر عن الشركة CanIt-PRO، وCanIt-Domain-PRO، وHosted CanIt. تعلن DKIM الدعم في سياق التصفية، بما في ذلك استخدام معلومات المُوقع عند تقييم البريد. لا ينشئ هذا البيان التاريخي واجهة أو واجهة توقيع حديثة لنطاق العميل SPF تضمين ما هو آمن للنشر اليوم. إعلان البطريق الهادر CanIt 7.0.8
يضع إعلان الاستحواذ الخاص بشركة Marlin في مارس 2018 Roaring Penguin ضمن أعمال أمان البريد الإلكتروني لشركة AppRiver. يساعد سجل الاكتساب في شرح التسميات القديمة، لكنه لا يثبت الخدمة اللاحقة التي يستخدمها عميل معين، أو ما إذا كان التثبيت القديم مدعومًا، أو تعليمات DNS التي يتم تطبيقها. إعلان الاستحواذ على مارلين
لم يتم إنشاء وثائق الإعداد الحالية المملوكة للموفر للنشر القديم الدقيق في هذا البحث. لا يعد عدم وجود مصدر إعداد حالي تم التحقق منه دليلاً على تقاعد المنتج. لا تقم بتحويل مقتطفات البحث أو أدلة الجهات الخارجية أو إعلان الاستحواذ إلى تعليمات الإنتاج الحالية. احتفظ بالمنتج والمصدر مرئيًا حتى يوفر مالك النشر مرجعًا مدعومًا.
إعادة بناء مسار البريد الفعلي
ابدأ بمالك النظام، واتفاقية الخدمة، والإصدار المثبت، ونقطة نهاية الإدارة، ومؤسسة الدعم المسؤولة. سجل مكان ظهور الاسم: مخزون البريد، أو آلية نظام التعرف على هوية SPF ، أو هدف MX ، أو الرأس المستلم، أو سجل الفوترة. هذه القرائن تجيب على أسئلة مختلفة. لا يعد اسم المضيف الذي تمت تصفيته في المسار الوارد دليلاً على أن الخدمة تنشئ البريد الإلكتروني الصادر للمؤسسة.
ارسم جردًا بسيطًا للطريق في تذكرة التغيير. حدد التطبيق الأصلي أو صندوق البريد الأصلي، وأي مرحل أو مرشح، وخدمة الخروج العامة، والوجهة المستخدمة للاختبار. قم بتمييز كل قفزة كما تمت ملاحظتها أو توثيقها أو استنتاجها. إذا كان أحد الموردين يدير الخدمة، فاطلب منه تحديد المنتج الأساسي والنطاق الدقيق لدعمه الحالي دون افتراض أن العميل لديه واجهة الإدارة الأصلية للمورد.
قم بتجميع رسالة صادرة يتم التحكم فيها، وبشكل منفصل، أي مثال وارد مطلوب لفهم عامل التصفية. استخدم محتوى غير ضار والمستلمين المعتمدين. الحفاظ على الطوابع الزمنية ورؤوس التوجيه ذات الصلة مع تقليل المعلومات الشخصية. لا تفترض أن الرأس الذي يحمل اسم المنتج يعد دليلاً موثوقًا للملكية؛ وربطه بالمسار الذي تم تكوينه للمؤسسة وملاحظات المتلقي الخاصة.
قد يكتشف المسؤول أن المكون القديم يتلقى البريد فقط، بينما تغادر حركة المرور الصادرة عبر موفر آخر. في هذه الحالة، انقل المصادقة الصادرة إلى دليل خدمة الإرسال الفعلي. احتفظ بالمكون القديم في مخزون الخدمة الواردة ولا تضف إذن إرسال لمجرد جعل كل إدخال مخزون يبدو "مُهيأ".
التحقق من صحة التوقيع منفصل عن إنشاء التوقيع
يسأل التحقق من صحة DKIM الوارد عما إذا كان التوقيع المستلم قد تم التحقق منه أم لا. يؤدي التوقيع الصادر إلى إنشاء توقيع للرسائل التي تترك نطاقًا معتمدًا. قاعدة التصفية التي تمنح الموقّع الصالح درجة أقل من البريد العشوائي لا تؤدي إلى إنشاء توقيع المؤسسة. يدعم الإعلان التاريخي وجود إمكانية التصفية ذات الصلة بـ DKIM، وليس إجراء التوقيع الخاص بالحساب. إعلان Roaring Penguin التاريخي DKIM
بالنسبة لمطالبة التوقيع الصادر، اطلب دليلاً على نظام التوقيع، والمجال، محددونشر المفتاح العام والتوقيع المستلم. تحدد قيم DKIM 'sd= وs= مجال التوقيع والمحدد المستخدم في البحث. لا يُظهر سجل DNS الموجود ضمن محدد قديم أن أي رسالة حالية ما زالت قيد التوقيع به. DKIM RFC 6376
اطلب من المشغل الحالي الحصول على الإرشادات المدعومة التي تتوافق مع الإصدار المثبت ونموذج النشر. حدد من يملك المفتاح الخاص وكيفية إدارة التدوير والاسترداد، دون طلب المفتاح نفسه. سجل ما إذا كانت الأنظمة النهائية تقوم بتعديل الرسائل بعد التوقيع. قم بإجراء اختبار قبل وبعد أي تغيير معتمد حتى يتمكن المراجع من التمييز بين التوقيع المفقود والتوقيع الذي يصبح غير صالح لاحقًا.
لا تنشر محددًا جديدًا، أو تستبدل مفتاحًا عامًا، أو تقوم بتبديل التحكم في التوقيع بناءً على دليل قديم فقط. حتى الإجراء الأصلي تاريخيًا قد يكون خاطئًا بالنسبة إلى خدمة تم تغييرها أو تثبيت غير مدعوم. الخطوة الآمنة التالية هي طلب الأدلة وخطة اختبار محددة النطاق، وليس مسار القائمة التخميني.
قم بتقييم نظام التعرف على هوية SPF و DMARC فقط على الهويات التي تمت ملاحظتها
حدد مجال مغلف SMTP ومسار الخروج العام للرسالة الصادرة. يسمح نظام التعرف على هوية المرسل SPF بإرسال الأنظمة لهوية SMTP التي تم تقييمها؛ لا يجعل خدمة التصفية الواردة للمرسل. احتفظ بالتفويض الشرعي الحالي، واحتفظ بسياسة نظام التعرف على هوية المرسل SPF واحدة سارية لدى كل مالك، وقم بتقييم حدود البحث قبل اقتراح أي بديل. SPF RFC 7208
لا يتم توفير أي تضمين عالمي للبطريق الزئير هنا. احصل على تعليمات المزود الحالي أو تفاصيل الخروج التي تم التحقق منها من قبل المسؤول لمعرفة المسار الدقيق. لا تقم بإعادة استخدام المجال لمجرد أنه يظهر في مثال مؤرشف. قم بتسجيل الأدلة التي تربط كل إذن مقترح بالبريد النشط، بما في ذلك مالك الخدمة الذي يمكنه تأكيده.
ثم قارن مجال SPF أو DKIM الذي تم تمريره بالمجال المرئي من. DMARC يتطلب مسارًا محاذيًا للتمرير، وليس مجرد وجود اسم منتج قديم أو ممر مصادقة في مكان ما في الرؤوس. يتقدم RFC 9989 والحفاظ على نتيجة المتلقي مع المجالات التي تشرحها. DMARC RFC 9989
إذا لم يكن من الممكن دعم المسار أو التحقق منه، فخطط لعملية ترحيل خاضعة للتحكم مع مالك البريد. أولاً، قم بتحديد المرسلين المهمين للمخزون، وقم بإنشاء مسار الاستبدال، والتحقق تنسيق هناك، واسترداد الوثيقة. لا تقم بإزالة السجلات القديمة حتى يتم التحقق من حركة المرور والتبعيات المتبقية.
التشخيص الخيالي: يُخطئ عامل التصفية الوارد في أنه مرسل للخارج
ترى منظمة خيالية علامة Roaring Penguin في وثائق البريد الخاصة بها وتفترض أنه يجب عليها إضافة تضمين SPF جديد. يتبع المحقق اختبارًا صادرًا ويكتشف أن عامل التصفية القديم موجود فقط في البريد الوارد. يتم إرسال الرسالة فعليًا من خلال مرحل مُدار بشكل منفصل. يوضح هذا السيناريو المبتكر خطأً في المخزون، وليس نشرًا محسوبًا للبطريق الهادر.
يتحقق الفريق من مظروف المرحل وهويات DKIM ويعين عمل المصادقة الخاص به لمالك الترحيل. إنه يبقي سؤال دعم عامل التصفية الوارد مفتوحًا ولكنه لا يقوم بأي تغيير تخميني لنظام التعرف على هوية المرسل SPF . تتحقق المراجعة الثانية مما إذا كانت محددات التوقيع القديمة لا تزال مستخدمة قبل إيقاف أي شيء. والنتيجة هي جرد مسار مصحح وخطة تغيير مبررة، بدلاً من الحالة الخضراء التي تم إنشاؤها بواسطة تفويض غير ضروري.
ورقة عمل المسار القديم
- الهوية: التسمية التاريخية، والمنتج الدقيق، والإصدار، ونموذج النشر، والمشغل، وجهة اتصال الدعم الحالية.
- الاتجاه: التصفية الواردة، أو الترحيل الصادر، أو التوقيع، أو التي لم يتم حلها؛ تضمين الأدلة الخاصة بكل تصنيف.
- المسار: عبء العمل الأصلي، والأنظمة المتوسطة، والخروج العام، والطابع الزمني، ومستلم الاختبار المعتمد.
- المصادقة: مرئي من، ومجال المغلف، وأزواج DKIM d=/s= ، والنتائج الموثوقة، وإيجاد المحاذاة.
- الوثائق: مرجع الموفر الحالي، وقابلية تطبيق الإصدار، والقيم العامة الصادرة، والإمكانيات التي لم يتم حلها.
- الانتقال: الاستبدال المدعوم إذا لزم الأمر، والمرسلون المهمون، ومالك التراجع، وتبعيات التقاعد.
حدود النشر
هذا مرشح تدقيق قديم كامل مع تعليق تنفيذ واضح. لم يتم التحقق من قيمة نظام التعرف على هوية المرسل SPF أو المحدد أو إجراء الواجهة الحالي الخاص بالموفر. يظل النشر المباشر DNS والرأسية والمرئية والبشرية الصغيرة والمتوسطة وبوابات النشر معلقة. قبل النشر، يجب على المحرر أن يقرر ما إذا كانت الأدلة التي تم حلها تدعم دليل الإعداد أو ما إذا كان الموضوع يجب أن يظل تقييمًا قديمًا مصنفًا بشكل واضح.
تسمية الأدلة التاريخية بما يمكن إثباته
ينشئ إصدار 2010 ميزة تصفية تاريخية، ويحدد إعلان 2018 سجل الاستحواذ. ولا يحدد أي منهما مسار العميل النشط أو استحقاق الدعم الحالي أو تكوين التوقيع اللاحق. قم بتسجيل تلك الأسئلة كأسئلة منفصلة للمشغل الحالي؛ لا تقم بتحويل سجل الشركة إلى وصفة DNS قابلة للتنفيذ.
قبول رسالة منفصلة عن طرح السياسة
يمكن لنتيجة SPF المتوافقة أن تلبي تقييم الرسالة، ولكنها لا تبرر وحدها نقل النطاق بأكمله للرفض. يتطلب القسم 7.4 RFC 9989 DKIM صالحًا لنشر النطاقات p=reject ويحذر من إمكانية التشغيل التفاعلي للبريد غير المباشر. قم بجرد جميع المرسلين الشرعيين والطرق غير المباشرة قبل أن يوافق مالك السياسة على التنفيذ. لم يتم تنفيذ أي تغيير DNS أو عملية مستأجر أو اختبار الرسالة المستلمة لهذه المقالة.