Eine authentifizierte Nachricht kann immer noch einen fehlerhaften, irreführenden oder unsicheren Link enthalten. Die Authentifizierung identifiziert eine verantwortliche sendende Domäne nach definierten Regeln; Es macht die verlinkte Website nicht sicher und stellt nicht sicher, dass jedes empfangende System die Nachricht bevorzugt. Überprüfen Sie sowohl die Content-Journey als auch die Mail-Journey.
Prüfen Sie, was die Empfänger tatsächlich erhalten
Verwenden Sie eine endgültige kontrollierte Nachricht, nicht nur die Editor-Vorschau. Vergleichen Sie den sichtbaren Linktext mit dem tatsächlichen Ziel und identifizieren Sie dann den ersten Host und das beabsichtigte Ziel. Fügen Sie Klartext-Alternativen und mobile Vorlagen hinzu. Eine kurzfristige Neufassung des Trackings oder eine Lokalisierungsänderung kann zu einem anderen Pfad führen als dem, den der Autor getestet hat.
DKIM Verifiziert signiertes Nachrichtenmaterial und ordnet es einer Signaturdomäne zu. Es handelt sich nicht um ein Inhaltssicherheitszertifikat. RFC 6376. Behalten Sie Authentifizierungsergebnisse und Linküberprüfungsergebnisse als separate Felder in der Release-Checkliste bei.
Überprüfen Sie Weiterleitungen als Sicherheitsgrenze
OWASP erklärt, dass das Akzeptieren nicht vertrauenswürdiger Weiterleitungsziele dies ermöglichen kann Phishing durch Ausleihen eines bekannten Starthosts an ein böswilliges Ziel. Bevorzugen Sie feste Ziele oder eine sorgfältig validierte Zulassungsliste, die für die Anwendung geeignet ist. Bei der Validierung muss das analysierte Ziel berücksichtigt werden und nicht eine zufällige Teilzeichenfolgenübereinstimmung. Anleitung zur nicht validierten OWASP-Umleitung.
Das bedeutet nicht, dass jede Weiterleitung bösartig ist. Eine legitime Anwendung kann regionales Routing, Authentifizierung oder Tracking verwenden. Die sinnvolle Frage ist, ob jeder Schritt einen berechtigten Zweck, einen verantwortungsvollen Eigentümer und ein sicheres Ziel hat. Versprechen Sie nicht, dass das Entfernen eines Hops den unveröffentlichten Filteralgorithmus eines Anbieters verändert.
Führen Sie eine Bestandsüberprüfung durch
Betrachten Sie eine hypothetische Überprüfung von vier Links. Ein direkter HTTPS-Hilfelink erreicht den vorgesehenen Hilfehost. Ein Two-Hop-Tracking-Link erreicht den genehmigten Kontohost. Ein Werbelink erreicht einen unabhängigen Host außerhalb des genehmigten Inventars. Ein vierter Link durchläuft eine Schleife zwischen zwei Hosts, ohne sein Ziel zu erreichen.
Gemäß den angegebenen Inventarkriterien sind die ersten beiden akzeptable Kandidaten und die beiden letzteren müssen korrigiert werden. Das Ersetzen des falschen Ziels und das Auflösen der Schleife würden diese speziellen Mängel nur dann beheben, wenn ein autorisierter erneuter Test die endgültigen Pfade bestätigt. Für dieses Beispiel wurde keine Netzwerkinspektion oder Reparatur durchgeführt. Malware-Status, Live- DNS , Zertifikate und Empfangsdienstbehandlung bleiben separate Fragen.
Wandeln Sie diese Vier-Link-Übung nicht in einen Anspruch auf Annahmequote um. Ein empfangender Dienst kann seine Antwort aus Gründen ändern, die im Inventar nicht aufgeführt sind, einschließlich Änderungen der Zielgruppe oder des gleichzeitigen Datenverkehrs. Behalten Sie die genaue Anbieterdiagnose bei, wenn ein Inhaltsproblem benannt wird. andernfalls sollte die vorgeschlagene Verbindung unbewiesen bleiben.
Diagnostizieren Sie die Auswirkungen auf die Zustellung vorsichtig
Wenn sich die E-Mail-Leistung nach einer Vorlagenüberarbeitung ändert, vergleichen Sie entsprechende Zielgruppen, Routen und Beobachtungsfenster. Erfassen Sie Akzeptanzen, Reklamationen und Linkausfälle separat. Ein gleichzeitiger Zielgruppenwechsel oder ein Anbietervorfall könnte den Trend erklären; Ordnen Sie nicht jede Bewegung einer URL zu, nur weil sie kürzlich bearbeitet wurde.
Wenn ein Anbieter explizit ein URL- oder Inhaltsproblem identifiziert, bewahren Sie die vollständige Antwort auf und befolgen Sie den aktuell unterstützten Behebungsprozess. Andernfalls geben Sie die Beweise als Hypothese an. Vermeiden Sie das Hochladen von Nachrichten oder sensiblen URLs auf Drittanbieter-Scanner ohne die erforderliche Genehmigung.
Geben Sie einen erklärbaren Inhaltspfad frei
Korrigieren Sie irreführende Etiketten, fehlerhafte Ziele und unnötige, nicht im Besitz befindliche Hopfen. Lassen Sie den Anwendungseigentümer die Zielvalidierung überprüfen und den E-Mail-Eigentümer die endgültig gerenderte Nachricht überprüfen. Behalten Sie ggf. einen kleinen Regressionssatz kontrollierter Links für Konto-, Hilfe- und Abmelde-Journeys bei.
Schließen Sie ab mit dem, was getestet wurde und dem, was noch unbekannt ist. Das Ziel ist eine klare und zuverlässige Empfängerreise, die durch Authentifizierung unterstützt, aber niemals damit verwechselt wird. Dies ist auch dann umsetzbar, wenn ein Empfänger keinen detaillierten Content-Reputation-Score offenlegt.
Schließen Sie den Linkfehler, ohne Reputationsergebnisse zu erfinden
Zeichnen Sie das genaue korrigierte Ziel oder die korrigierte Schleife, die kontrollierte Nachrichtenrevision und die tatsächlich durchgeführten Prüfungen auf. Behalten Sie jeden Empfangsdiensttrend als separate Untersuchung bei, es sei denn, es gibt Beweise, die ihn mit dem Verbindungsfehler in Verbindung bringen.