An SPF politik er en tilladelsesliste med afhængigheder. Den fortjener den samme ejerskabsgennemgang som en servicekonto. En gammel inkludering eller et bredt netværksområde kan stadig godkende e-mail, selv efter at den virksomhedstjeneste, der begrundede den, er forsvundet. Revisionsmålet er at bevare nødvendige afsendelsesveje og trække tilladelser tilbage, som ikke længere har et forsvarligt formål.
Oversæt syntaks til virksomhedstilladelse
Start fra hvert domæne, der faktisk bruges i MAIL FRA, ikke kun virksomhedens webstedsdomæne; inventar HELO politikidentiteter separat, hvor disse kontroller er en del af ruten. Registrer den offentliggjorte politik, og udvid de afhængigheder, der nås gennem inkludere og omdirigere. En include er en rekursiv SPF evaluering: et bestået i den inkluderede politik gør, at include matcher; kvalifikationen på den inkluderer bestemmer det ydre resultat. Det er ikke kun en tekstimport. For en almindelig positiv inkluderer ændringer i en udbyders refererede politik derfor kan ændre de adresser, dit domæne godkender. RFC 7208 §5.2, RFC 7208 §6.1.
For hver autorisation skal du registrere applikationen, virksomhedsejeren, teknisk ejer, kontrakt- eller servicekonto, kuvertdomæne, formål, sidst verificerede afsendelsesbeviser og pensionsbegrænsninger. Flag brede CIDR'er, delte serviceområder og mekanismer baseret på generel vært eller MX poster til eksplicit gennemgang. Bekymringen er deres faktiske tilladelsesomfang, ikke en regel om, at en bestemt mekanisme altid er forkert.
Skelne hvilende fra forladt
En stille måned beviser ikke, at en afsender er forældet. Årlige meddelelser, genopretning efter katastrofe, betalingspåmindelser og små administrative arbejdsgange kan være fraværende i et kort observationsvindue. Kombiner tilgængelige autentificeringsrapporter med applikationskonfiguration, servicebeholdninger og ejerbekræftelse. Samlede rapporter er nyttige observationer, ikke en komplet opgørelse over hver meddelelse, der nogensinde er sendt.
Illustrerende eksempel: en inkludering mærket "begivenheder" har ingen nylig trafik. Marketing identificerer en årlig fornyelseskampagne, der stadig bruger den. Denne tilladelse afventer gennemgang, indtil kampagneejeren bekræfter en test eller en migrering. En anden inkluderer tilhører en lukket prøveperiode, hvis konto er blevet deaktiveret, og hvis ejer bekræfter, at der ikke er nogen meddelelser i kø eller planlagt. Det bliver en pensionskandidat.
Reducer omfanget uden at skabe et skjult afbrydelse
Forbered en ændring, der indeholder den nøjagtige gamle og foreslåede SPF optager, de dækkede tjenester, testmeddelelser, overvågningsvindue og udløser for tilbagerulning. Bekræft, at den nye registrering er en enkelt gyldig SPF politik, og at repræsentative evalueringsstier forbliver inden for grænsen for DNS-forespørgsler. Løs ikke en overdimensioneret tilladelsesliste ved at ændre dens endelige kvalifikation til +all , som autoriserer hver forbindelsesadresse. RFC 7208 §4.5, RFC 7208 §4.6.4, RFC 7208 §5.1.
Fjern en uafhængigt forstået tilladelse på et tidspunkt, hvor det er praktisk muligt. Tjek ejergodkendte flows, efter caches har haft mulighed for at udløbe, mens du erkender, at en enkelt TTL ikke beviser, at hver observatør har den samme tilstand. Gendan kun den gemte politik, hvis tilbagerulning forbliver sikker. Hvis den gamle tjeneste er kompromitteret, skal du bruge en hændelsesplan i stedet for at genautorisere den for at forbedre leveringsstatistikken.
Definer revisionsresultatet
Luk en post som bevaret hos en ejer, trukket tilbage med beviser eller uafklaret med en deadline. En mindre post er et biprodukt; den virkelige leverance er et sporbart tilladelsesregister. SPF -pas godkender brugen af den kontrollerede identitet, ikke alle synlige fra-adresser eller hver lejer, der deler en sendeplatform. Hold på linje DKIM og DMARC validering som separate kontroller. RFC 7208 §8.3, RFC 7208 §11.2, RFC 7208 §11.3, RFC 7208 §11.4.
Brug en konkret beslutningsoversigt
For en foreslået fjernelse skal du registrere den nøjagtige periode og kvalifikatoren, berørte forbrugere, ejerbeslutning, bevisvindue, kø eller sæsonafhængige afhængigheder, foreslået politik og godkendt genoprettelsestilstand. Hvis en årlig arbejdsgang ikke har nogen testbeviser, skal du holde dens beslutning om pensionering uafklaret i stedet for at behandle fraværende rapporter som en godkendelse. En positiv inkluderer kan autorisere en tjenestes delte infrastruktur; det håndhæver ikke lejerisolering. Dette er et gennemgangsarbejdsark, ikke en fuldført tilladelsesændring.