النطاق والتحضير
يغطي هذا الدليل إعداد مجال إرسال Taguchi. إنه إجراء مستندي، وليس تقريرًا عن اختبار مباشر للمستأجر. احصل على المسؤول والوصول إلى DNS ومالك الحملة. احفظ السجلات الموجودة وحدد المجال "من" المسموح للحملة باستخدامه. حجز منفصل مسار العودة الاسم الذي لا يحمل بالفعل خدمة أخرى.
تكوين مجال الإرسال
في الإعدادات > المجال، أضف مكون المجال ومسار الإرجاع، واختر أ محدد، ثم احفظ. نشر CNAME وإدخالات TXT التي تم إنشاؤها في عمود سجلات DNS ، باستخدام التكوين الخاص بك بدلاً من الأمثلة الموجودة في الوثائق. يميز تاجوتشي بين "معلق" و"مصرح به" و"مكون". بعد ترخيص DNS ، يجب أن يكمل الدعم التكوين؛ ثم حدد المجال في سمة القالب. يصف الموفر نافذة ترخيص على مدار 24 ساعة. تحقق من دقة التسجيل قبل تصعيد حالة الانتظار المستمرة. راجع مصدر إعداد Taguchi أدناه.
التصميم الأصلي لقبول الحملة
قم بإعداد نسختين غير مؤذيتين لنفس الحملة: واحدة قبل تغيير موضوعها والأخرى بعد ذلك. سجل الموضوع، من المجال، ومجال المغلف، وكل مجال توقيع ونتائج جهاز الاستقبال الموثوق به لكليهما. يؤدي هذا إلى عزل تغيير التكوين الموجود في DNS ولكن لم يتم استخدامه بعد بواسطة الحملة. لا تفسر التصنيف المعتمد كدليل على تحول الحملة.
بالنسبة إلى ملف خيالي من domain notices.example.org ، يوضح المظروف الموجود أسفل bounce.notices.example.org سبب الاسترخاء SPF تنسيق وقد تختلف محاذاة SPF الصارمة. هذه هويات تعليمية، وليست قيمًا أصدرها تاجوتشي أو نتائج ملحوظة. اختبر وضع المحاذاة المحدد بشكل صريح وفضل الدليل من الرسالة الفعلية على الافتراضات حول تسمية لوحة المعلومات. لا يحتوي تصميم القبول أدناه على صفوف نتائج ملحوظة؛ إنها إرشادية وليست ورقة عمل قياس مرفقة.
إثبات الهوية لدى المتلقي
استخدم صندوق بريد خارجيًا يمكن التحكم فيه وأرسله عبر سير عمل الإنتاج، مع محتوى غير ضار وبدون بيانات العملاء. احفظ الرسالة الأولية والطابع الزمني ونظام الاستقبال Authentication-Results. تجاهل تأكيدات المصادقة التي أدخلها مرسل غير موثوق به. سجل المجال المرئي أو Return-Path أو هوية المغلف المصادق عليها وكل DKIM d= and s= pair. A display name or Reply-To address is not the DMARC هوية.
يسمح تمرير نظام التعرف على هوية SPF للخادم المتصل بهوية المغلف التي تم تقييمها. يتحقق ممر DKIM من صحة التوقيع لمجال التوقيع الخاص به. يحتاج DMARC إلى طريقة تمرير يتماشى مجالها مع المجال المرئي من: تتطلب المحاذاة الصارمة نفس المجال؛ تسمح المحاذاة المريحة بإقامة علاقة المجال التنظيمي المعمول بها. يمكن أن يمر التوقيع المملوك للموفر دون المصادقة على "من" المرئي الخاص بك. تمريرة واحدة محاذاة توقيع DKIM يمكنه تلبية DMARC حتى في حالة فشل توقيع آخر. تأتي قواعد البروتوكول هذه من RFC 7208 و RFC 6376 و RFC 9989، المدرجة أدناه.
تحقق من DNS المعتمد قبل تشخيص ذاكرة التخزين المؤقت. اسأل خادمًا موثوقًا عن الاسم والنوع الدقيقين، ثم قارن بين المحلل التكراري بعد مدة تخزينه المؤقت. بالنسبة إلى DKIM ، اتبع أي CNAME لاستجابة TXT للمفتاح العام الخاص به. لا تنشر أبدًا مفتاحًا خاصًا. احتفظ بسياسة نظام التعرف على SPF واحدة عند كل اسم تم تقييمه وتحقق من الحد العشرة لمصطلح البحث عن DNS عبر التضمينات المتداخلة. لا تستبدل سياسة SPF المشتركة بمثال الموفر.
الاسترداد والقبول
قم بإيقاف سير العمل المتأثر مؤقتًا إذا أظهرت الاختبارات تراجعًا جديدًا. قارن السجل الذي تم تغييره بالنسخة المحفوظة وقم بالتراجع عن هذا التغيير فقط بعد التحقق من المرسلين الآخرين. إعادة فحص DNS وإعادة الإرسال بعد الاسترداد؛ لا يؤدي إرجاع القيمة إلى مسح كل محلل على الفور. احتفظ بسجلات التحقق من DKIM القديمة متاحة بينما قد تظل الرسائل الموقعة مسبقًا قيد النقل، ما لم يتطلب حادث أمني الإلغاء.
اقبل التغيير فقط عندما يتفق DNS وحالة التطبيق والرسالة المستلمة الحقيقية. قم بتسجيل مالك التدفق والطابع الزمني للأدلة ومشغل المراجعة التالية. لا يعد وضع البريد الوارد وحده دليلاً على المصادقة، ولا تضمن المصادقة الناجحة وضع البريد الوارد. لا تقم بتشديد سياسة DMARC الخاصة بالنطاق المشترك بناءً على قوة اختبار مقدم خدمة واحد. جرد المصادر المشروعة الأخرى أولا.
استخدم دفتر الأستاذ الخاص بالحالة قبل إصدار الحملة
تفترض الحالة المكتوبة TG-01 أن النطاق الجديد هو notices.example.org ، ومكون مسار الإرجاع المختار هو Bounce، والمحدد هو القيمة الفعلية الصادرة عن الحساب، ولم يتم توفيرها في هذا المثال. تم النص على أن ترخيص DNS مكتمل، ولكن الحالة "مصرح به" وليس "مكون"، ولا يزال موضوع الحملة يحدد المجال القديم. يجب على مالك الدعم إكمال تنشيط المزود، ثم يقوم مالك الحملة بتحديد المجال المعتمد في السمة وإجراء اختبار متحكم فيه. وحتى ذلك الحين، فإن النتائج الفعلية من والمغلف و DKIM للحملة التي تم تغييرها غير معروفة. لا تضع علامة عليه جاهزًا من DNS وحده. لم يحدث أي طلب دعم أو تعديل قالب أو استعلام DNS أو إرسال حملة.
الحفاظ على حدود التنفيذ
يتطلب القسم 7.4 RFC 9989 DKIM صالحًا، وليس نظام التعرف على SPF وحده، لنشر النطاقات p=reject، ويحذر من إمكانية التشغيل التفاعلي للبريد غير المباشر والقائمة البريدية. إن نجاح اختبار واحد للرسائل المباشرة لا يشكل دليلاً على أن كل طريق مشروع جاهز لسياسة أقوى. احتفظ بالحماية المعتمدة الحالية أثناء تشخيص الفجوة الفعلية؛ أي تغيير في السياسة يحتاج إلى قرار خاص به.