Et testmiljø bør gøre det muligt at verificere ændringer uden at give unødvendig autoritet over produktionsidentiteter. Adskil applikationsmiljøer i afsenderregistret og gennemgå deres DNS , signerings-, relæ- og modtagertilladelser uafhængigt. En etiket kaldet staging er ikke en isolationskontrol, når den bruger produktionslegitimationsoplysninger eller den samme ubegrænsede signeringsnøgle.
Definer en miljøgrænse
Registrer applikationens formål, miljø, ejer, kritikalitet, synlig Fra domæne, konvolutdomæne, DKIM underskriftsidentitet, slutpunkt, godkendte modtagere, sidste test og godkendelsesreference. Brug særskilte serviceidentiteter og legitimationsbutikker, hvor platformen tillader det. Kopier ikke produktionshemmeligheder ind i et inventar eller dokumentationseksempel.
Et dedikeret testunderdomæne kan hjælpe med at adskille navngivning og politik, men det er ikke automatisk en sikkerhedsgrænse. DMARC afslappet justering kan relatere domæner på organisationsdomæneniveau, afhængigt af protokollens gældende regler for opdagelse og tilpasning. Bekræft den faktiske tilpasningsadfærd i stedet for at antage, at en anden etiket længst til venstre gør post urelateret. RFC 9989.
Adskil autoritet fra navngivning
Undersøg, hvad hver signeringstjeneste, DNS delegation og relæregel kan gøre. En testservice, der har tilladelse til at signere for produktionsdomænet, kan stadig producere produktionstilpasset post. En testafsender med et dedikeret domæne kan stadig nå rigtige kunder, hvis dens modtagerkontrol er ubegrænset. Autentificering og modtagerindeslutning løser forskellige problemer.
For SPF, undersøg den faktiske kuvertidentitet og dens autoriserede afsendelsesinfrastruktur. For DKIM , undersøg vælger ejerskab og signeringsdomænet i stedet for kun visningsadressen. RFC 7208 og RFC 6376. Behandl delt autoritet som en eksplicit undtagelse med virkning, ejer og udløb, ikke en usynlig bekvemmelighed.
Adskil to iscenesættelsesfejl
Antag, at en iscenesættelsestjeneste har en dedikeret test fra domæne, men dens signeringsoplysninger kan også signere for produktion. En anden tjeneste har begrænset underskriftsautoritet, men kan sende til ubegrænsede rigtige modtagere. Den første skal gennemgås med underskriftstilladelse; den anden har behov for recipientindeslutning. En testdomænetiket kan ikke løse nogen af tilladelsesgabet.
Disse er hypotetiske tilladelsesfund, ikke en udført vagt- eller platformsaudit. Registrer godkendte identiteter og modtagere, og bekræft derefter håndhævelsen gennem godkendte konfigurationsbeviser og afgrænsede tests. Et regneark kan afsløre en uoverensstemmelse, men kan ikke stoppe en besked. Hvor kontrolelementer ikke er tilgængelige, behold et eksplicit hold eller et snævert godkendt alternativ i stedet for at erklære isolation fra navngivning alene.
Fremme gennemgået konfiguration i stedet for skjult tilstand
Gem den tilsigtede konfiguration og nøjagtige forskel for hvert miljø. Brug NIST baseline og ændringskontrolprincipper til at gennemgå, hvad der fremmes. SP 800-128. Registrer afhængigheder, der ikke kan være identiske på tværs af miljøer, såsom offentlige DNS navne, vælgere og certifikatidentiteter.
Test kandidaten i et sikkert miljø, og indhent derefter den nødvendige godkendelse til produktionsimplementering. En bestået iscenesættelsestest beviser ikke produktions DNS , tilladelser eller ruteadfærd. Bekræft produktion med autoriserede modtagere og en afgrænset test efter implementering. Hvis miljøet ændrer sig under testen, skal du genetablere basislinjen i stedet for at behandle forældede resultater som aktuel godkendelse.
Hold beviser og adgang adskilt
Opbevar separat testbevis med miljømærker og tidsstempler. Rediger reelle modtagerdata, når det ikke er nødvendigt, og undgå at bruge rigtige kundebeskeder som testarmaturer. Begræns muligheden for at redigere produktions- DNS , tildele signeringsidentiteter og ændre modtagerkontroller til de ansvarlige operatører.
Gennemgå delte afhængigheder med jævne mellemrum. Hvis test og produktion skal dele en relæ- eller udbyderkonto, skal du dokumentere de faktiske kontroller, der begrænser identitet og modtagerbrug. Definer tilbagerulning til produktion separat fra testoprydning. Fjernelse af en testvælger er kun sikker efter bekræftelse af, at ingen produktionsstrøm afhænger af den; navne alene kan ikke fastslå denne afhængighed.