HR-systemer kan sende beskeder, der ligner intern post, men som stammer fra rekrutteringsplatforme, lønleverandører og medarbejderserviceapplikationer. Den første opgave er at identificere organisationens faktiske konto og ejer for hver rute. Et genkendeligt leverandørmærke er ikke bevis for, at en bestemt kandidat-e-mail eller lønmeddelelse blev godkendt af arbejdsgiveren.
Del ejerskabet, før du ændrer politik
Tildel rekrutteringsmeddelelser til ejeren af rekrutteringsoperationer, lønmeddelelser til ejeren af løntjenesten og medarbejderopdateringer til ejeren af personaledriften. Optag leverandør lejer, formål, Fra identitet, kuvert domæne, DKIM underskrive domæne og vælger, svarruting og godkendt supportkontakt. Hvis en udbyder betjener flere datterselskaber, skal du registrere, hvilken juridisk enhed og domæne hver konto er beregnet til at bruge i stedet for at behandle gruppen som én udifferentieret afsender.
Opgørelsen skal indeholde operationelle metadata, ikke kandidat-cv'er, lønoplysninger eller medarbejder-id'er. Gem alt nødvendigt begrænset bevis under passende adgangs- og opbevaringskontroller. Authentication debugging er ikke tilladelse til at kopiere personaledata til en generel mail-fejlfindingsbillet.
Forstå, hvad resultatet betyder
RFC 9989 evaluerer autentificeret domænebrug. Det beviser ikke, at et tilbud er gyldigt, en løntilpasning er korrekt, eller at en rekrutterer er bemyndiget til at forpligte sig. Behold ansættelsesbeslutninger og ændringer i bankoplysninger under deres egne verifikationsprocesser. En kompromitteret godkendt konto kan stadig sende autentificeret vildledende indhold.
Brug pålidelige modtagesystemresultater og overskrifter til at sammenligne den synlige From-identitet med den godkendte identitet. Stol ikke på et skærmbillede, der indeholder et leverandørlogo eller en upålidelig header indsat af afsenderen. Spørg leverandøren om dens nuværende, kontospecifikke brugerdefinerede domæneprocedure, og behold konfigurationsbeviser uden at afsløre legitimationsoplysninger.
Tjek medarbejdermeddelelsen uden at låne lønbevis
Antag, at kandidat- og lønmeddelelser bruger signeringsdomæner, der matcher deres respektive From-domæner, mens employees.hr.example vises i en medarbejdermeddelelses From, og provider.example.net er dens DKIM d=-domæne. Selv hvis man antager, at signaturen bekræfter, fejler den strengt DKIM justering. Disse er hypotetiske identiteter, ikke signerede prøver eller egentlige kryptografiske kontroller. Et lønresultat kan ikke lukke et særskilt medarbejder-varslingsmismatch.
RFC 9989 afsnit 4.4 og 5.3.5 kræve overvejelse af de andre relevante justerede stier for en komplet DMARC resultat. For p=reject implementering, sektion 7.4 og 8 kræver gyldig DKIM i stedet for SPF alene. Separat kan et kandidatsvar nå den forkerte rekrutteringskø på trods af en forbigående udgående besked. Bekræft den godkendte svardestination med fiktive optegnelser og kontrollerede konti, ikke rigtige ansøgere eller personaleoplysninger.
Test selve medarbejder- og kandidatrejserne
Brug en godkendt fiktiv ansøger og medarbejderkonto i et understøttet testmiljø. Udløs en ansøgningsbekræftelse, en harmløs lønmeddelelse og en medarbejderopdatering gennem deres rigtige ansøgningsarbejdsgange. Bekræft kontrolleret modtagelse, godkendelse og svarruting. Tjek, at et kandidatsvar når den forventede rekrutteringskø uden at afsløre en anden ansøgers detaljer. Behandl dokumentadgang og indholdets korrekthed som separate acceptkriterier.
Hvis leverandøren kun tilbyder sin egen From-identitet, bør virksomhedsejeren beslutte, om en klart præsenteret understøttet adresse opfylder arbejdsgangens behov. Du må ikke forfalske arbejdsgiverens identitet gennem en ikke-understøttet konfiguration eller tilføje brede omgåelsesregler bare for at få en test til at virke vellykket. Gentest understøttede ændringer og dokumenter eventuelle resterende begrænsninger.
Hold offboarding forbundet med afsenderens styring
Gennemgå autorisationer, når en bureaukontrakt udløber, en lønudbyder skifter eller en HR-administrator forlader. Bekræft den efterfølgende arbejdsgang, før du trækker nøgler eller DNS afhængigheder tilbage. Bevar en navngiven gendannelsesejer for tidsfølsomme kandidat- og lønmeddelelser. Markér kun ruten som accepteret, når tjenesteejeren godkender det aktuelle testbevis; hverken en DNS registrering eller et godkendelsespas er en ansættelses-, privatlivs- eller lovoverholdelsescertificering.