[ DNS und Domänen ]

Hängende DKIM CNAMEs nach dem Offboarding eines Lieferanten

Entfernen Sie vom Lieferanten verwaltete DKIM -Aliase mit Prüfungen auf aktive Selektoren, Standby-Rotation, verzögerten Nachrichten, Zielkontrolle und verbleibendem Zugriff.

Vom EmailAuth Forschungsteam · 8 Minuten Lesezeit

[Wichtige Punkte]

  • Ein DKIM Alias, eine Signaturkonfiguration und Lieferantenanmeldeinformationen sind separate Abhängigkeiten.
  • Überprüfen Sie Standby-Selektoren und In-Flight-Nachrichten, bevor Sie die Suche nach öffentlichen Schlüsseln einstellen.
  • Schließen Sie aus einer DNS Änderung nicht die Anspruchsberechtigung oder den sofortigen globalen Widerruf ab.
Auf dieser Seite
  1. Wichtige Punkte
  2. Wegbringen
  3. Nach Rolle
  4. Häufig gestellte Fragen
  5. Quellen
  6. Glossar
  7. Verwandte Leitfäden

[ Wegbringen ]

Schließen Sie die eigentliche Signaturbeziehung, behalten Sie nur berechtigte Nachrichtenabhängigkeiten bei und überprüfen Sie DNS Ausmusterung und die Ersatzauthentifizierung separat.

[Nach Rolle]

Was das für Sie bedeutet

Wählen Sie Ihre Rolle für praktische nächste Schritte.

IT-/Mail-Administrator

Selektoren aufgrund von Beweisen in den Ruhestand schicken

Aktuelle Nachrichtenbeispiele offenbaren nicht jede Rotation oder Warteschlangenabhängigkeit.

Nächste Schritte

  1. Inventarisieren Sie genaue d=/s= und Alias-Ziele.
  2. Überprüfen Sie die Standby-Auswahl sowie geplante oder verzögerte Nachrichten.
  3. Überprüfen Sie den Ersatzunterzeichner und DNS Status für den Ruhestand.

CISO / SecOps

Überprüfen Sie die fortlaufende Schlüsselkontrolle

Ein externes Public-Key-Ziel bleibt eine Vertrauensabhängigkeit, bis es ordnungsgemäß deaktiviert wird.

Nächste Schritte

  1. Validieren Sie die Lebenszykluskontrollen von Anbietern, ohne Ziele zu beanspruchen.
  2. Koordinieren Sie die Sperrung des Zugriffs und alle dringenden Sperrentscheidungen.
  3. Vermeiden Sie die Behauptung, dass zwischengespeicherte Schlüssel sofort verschwinden.

Gründer / Nicht-technisch

Schließen Sie das Offboarding von Lieferanten teamübergreifend ab

Durch den Vertragsabschluss werden Arbeitsabläufe nicht automatisch gestoppt oder DNS Einträge gelöscht.

Nächste Schritte

  1. Bestätigen Sie, welche Anwendungen noch vom Lieferanten abhängig sind.
  2. Genehmigen Sie die Migration und eine begründete Ruhestandsfrist.
  3. Erfordern die Schließung von DNS , Konfigurations- und Zugriffsaufgaben durch den Eigentümer.

[ FAQs ]

Häufig gestellte Fragen

Werden durch das Löschen eines Lieferantenkontos dessen DKIM CNAMEs entfernt?

Gehen Sie nicht davon aus. Die Veröffentlichung des Kunden DNS und die Konfiguration des Anbieterkontos sind separate Verantwortlichkeiten. Überprüfen Sie beide Seiten der Offboarding-Beziehung.

RFC6376

Kann ein Selektor, der in den letzten E-Mails fehlt, sicher gelöscht werden?

Nicht unbedingt. Microsoft 365 dokumentiert aktive und Rotations-Standby-Selektoren. Überprüfen Sie vor der Ausmusterung das vom tatsächlichen Lieferanten unterstützte Modell und andere Arbeitsabläufe.

Microsoft: Konfigurieren Sie DKIM für benutzerdefinierte Domänen

Erlaubt ein CNAME selbst jemandem, E-Mails zu signieren?

Nein. Zum Signieren ist ein privater Schlüssel erforderlich. Der Alias ​​steuert die Erkennung des öffentlichen Schlüssels, daher bleibt die Kontrolle über sein Ziel eine Abhängigkeit, die separat bewertet werden muss.

RFC6376

Beweist ein fehlendes Ziel einen rückgewinnbaren DKIM Dienst?

Nein. Ein fehlender Schlüssel oder ein fehlendes Ziel führt nicht zu einer Anbieterneuzuweisung oder einem Eigentumsvalidierungsverhalten. Behalten Sie diese Unsicherheit bei und suchen Sie nach verlässlichen Anbieterbeweisen.

Microsoft: Verhindern Sie baumelnde DNS Einträge und verhindern Sie die Übernahme von Subdomains

Wie lange soll der alte Schlüssel veröffentlicht bleiben?

In diesem Leitfaden gibt es kein universelles Intervall. Basieren Sie die Entscheidung auf tatsächlich in der Warteschlange befindlichen und bereits signierten Nachrichten, dem Dienstverhalten und der Risikoentscheidung des Sicherheitseigentümers.

RFC6376

Muss ein kompromittierter Schlüssel für verzögerte Nachrichten verfügbar bleiben?

Nein. Ein Sicherheitsvorfall kann trotz Lieferstörung einen schnelleren Widerruf rechtfertigen. Der verantwortliche Sicherheitseigentümer muss diese Reaktion entscheiden und koordinieren.

RFC6376

Wird der CNAME durch das Löschen überall sofort widerrufen?

Nein. Rekursive Resolver behalten möglicherweise zwischengespeicherte Alias- oder Schlüsseldaten bei. Überprüfen Sie die ordnungsgemäße Entfernung und zeichnen Sie Cache-Beobachtungen auf, ohne ein sofortiges globales Verschwinden zu versprechen.

RFC1034

Was beweist, dass die Ersatzroute bereit ist?

Behalten Sie eine kontrollierte empfangene Nachricht mit der beabsichtigten Signaturidentität und einem Weiterleitungspfad bei, der am sichtbaren Absender ausgerichtet ist. Eine DNS Speicherung oder ein Provider-Badge allein reicht nicht aus.

RFC9989

[ Quellen ]

Quellen

  1. RFC1034

    Abschnitte §3.6 Aliase und kanonische Namen · §4.2 Wie die Datenbank in Zonen unterteilt ist · §4.3.4 Zwischenspeicherung negativer Antworten

  2. RFC2308

    Abschnitte §2. Negative Antworten · §5. Negative Antworten zwischenspeichern

  3. RFC9989

    Abschnitte Identifier-Ausrichtung · DMARC -Richtlinienerkennung

  4. RFC6376

    Abschnitte §3.5 DKIM-Signature Header-Feld · §3.6 Schlüsselverwaltung und -darstellung · §5. Aktionen des Unterzeichners · §6. Prüferaktionen

  5. Microsoft: Verhindern Sie baumelnde DNS Einträge und verhindern Sie die Übernahme von Subdomains

    Abschnitte Was ist eine Subdomain-Übernahme? · Verhindern Sie baumelnde DNS Einträge. · Korrigieren Sie baumelnde DNS -Einträge

  6. Microsoft: Konfigurieren Sie DKIM für benutzerdefinierte Domänen

    Abschnitte Syntax für DKIM CNAME Datensätze · DKIM Schlüssel rotieren · DKIM -Signaturkonfiguration für benutzerdefinierte Domänen

[ Glossar ]

Glossar

Wähler
Der DKIM -Signaturwert, der mit der signierenden Domäne verwendet wird, um den entsprechenden öffentlichen Schlüssel zu finden.

RFC6376

Standby-Wahlschalter
Ein Selektor, der für die unterstützte zukünftige Schlüsselrotation eines Anbieters anstelle der aktuellen Signatur beibehalten wird.

Microsoft: Konfigurieren Sie DKIM für benutzerdefinierte Domänen

Ruhestandsfrist
Der genehmigte Punkt zum Entfernen einer veralteten Suche, nachdem Nachrichtenabhängigkeiten und Sicherheitsrisiken überprüft wurden.

RFC6376

Schlüsselerkennungsabhängigkeit
Die DNS Suchbeziehung, über die ein Empfänger den öffentlichen Schlüssel für eine DKIM Signatur erhält.

RFC6376

Unternehmensherkunft

Warum Top-Finanzinstitute und Regierungen haben ihre E-Mail-Sicherheits-Dashboards eingestellt.

Herkömmliche E-Mail-Authentifizierungsplattformen verkaufen Ihnen ein Dashboard und bitten Ihre Techniker, die Arbeit zu erledigen. In Umgebungen mit hohem Risiko führt die manuelle Überwachung zu verzögerter Durchsetzung, Konfigurationsabweichungen und nicht überwachten Schattendomänen.

EmailAuth ist die Agenten-E-Mail-Herkunftsplattform. Unsere Agenten setzen durch p=reject, halten Sie die Absender von Drittanbietern auf dem Laufenden und verschieben Sie Ihre Domains auf voll RFC 9989 Compliance, der neue DMARC Standard, mit Human-in-the-Loop-Überprüfbarkeit.

Regierungen Große Unternehmen Tier-1-Finanzinstitute

SaaS · Dedizierte Mandantenfähigkeit · Air-Gap-On-Prem · BYOK-Verschlüsselung

Wissensdatenbank