Bestätigen Sie, dass TransIP maßgeblich ist
Dies ist ein DNS Veröffentlichungsleitfaden, kein Onboarding-Leitfaden für den TransIP-Mail-Dienst. Eine Domain kann bei TransIP registriert werden, solange sie autorisierend ist Nameserver sind woanders. Überprüfen Sie vor der Bearbeitung die öffentliche Delegation der Domäne und identifizieren Sie die autorisierende Zone. Wechseln Sie nicht den Nameserver, nur um ein DNS Formular zugänglich zu machen. Erhalten Sie die genauen Datensatznamen, -typen und -werte des Absenders zusammen mit dem vorhandenen Zonenexport und einem genehmigten Änderungsbereich.
Geben Sie Namen und Werte korrekt ein
Wählen Sie die Domäne in der Systemsteuerung aus und öffnen Sie DNS Einstellungen. Für die benutzerdefinierte Bearbeitung müssen die automatischen TransIP-Einstellungen deaktiviert sein. Durch das erneute Aktivieren dieser Einstellungen können benutzerdefinierte Datensätze und Nameserver überschrieben werden. Das Feld „Name“ verwendet @ für den Zonen-Apex und relative Namen für Subdomains. Eine externe CNAME Das Ziel benötigt seinen vollständigen Namen und den abschließenden Punkt. Diese Schnittstellenregeln sind in der TransIP-Control-Panel-Quelle unten dokumentiert.
Für eine TXT DKIM Schlüssel weist die DKIM Quelle Benutzer an, umgebende Anführungszeichen und unnötige Backslashes wegzulassen. Verwenden Sie den öffentlichen Schlüssel des Absenders, niemals eine generierte Probe. A Wähler Für eine sendende Subdomain ist der relative Besitzername dieser Subdomain erforderlich. Verwenden Sie CNAME nur, wenn der Absender tatsächlich eine CNAME Delegierung erteilt hat. Das Veröffentlichen eines Schlüssels führt nicht dazu, dass ein sendender Dienst mit dem Signieren beginnt.
Originales Arbeitsblatt zur Datensatzzuordnung
Das Folgende ist eine fiktive Mapping-Übung für die example.org Zone, keine Produktionskonfiguration. Eine vollständige DKIM review._domainkey.news.example.org -Karten zur Überprüfung. _domainkey.news im Feld „Name“. A DMARC Besitzer _dmarc.news.example.org wird _dmarc.news. Der SPF Der Eigentümer news.example.org wird den Nachrichten zugeordnet. Markieren Sie den erwarteten vollständigen Namen auf dem Änderungsticket, damit ein Prüfer ein versehentliches Suffix example.org.example.org erkennen kann.
Behalten Sie SPF und DMARC als TXT Richtlinien bei ihren korrekten Eigentümernamen bei. Geben Sie keine vollständige Zonendateizeile, einschließlich Klasse und Typ, in das Feld „Wert“ ein. Mehrere TXT Datensätze können für unabhängige Zwecke nebeneinander existieren, aber zwei SPF Richtlinien unter einem ausgewerteten Namen sind nicht gültig. Lange DKIM Werte erfordern eine sorgfältige Handhabung: Die abgerufenen TransIP-Seiten etablieren kein universelles Aufteilungsverfahren für lange Zeichenfolgen. Wenn das Gremium den vollen Wert des Anbieters ablehnt, stoppen Sie und holen Sie sich die aktuellen TransIP-Leitlinien, anstatt sie zu kürzen.
Überprüfen Sie die Veröffentlichung, bevor Sie E-Mails testen
Fragen Sie jeden autorisierenden Server nach den vollständigen SPF , DMARC und Selektornamen ab. Vergleichen Sie vollständige Werte, einschließlich verketteter TXT Zeichenfolgen, sofern diese zurückgegeben werden. Überprüfen Sie für einen delegierten Schlüssel das CNAME Ziel und die endgültige TXT Antwort. Wiederholen Sie den Vorgang mit einem rekursiven Resolver und behalten Sie die TTL-Beobachtungen bei. Eine korrekte Bedienfeldanzeige mit fehlender öffentlicher Antwort kann auf eine falsche Autorität oder nicht gespeicherte Daten hinweisen und nicht nur auf eine langsame Verbreitung.
Lösen Sie dann erst eine kontrollierte Nachricht über den sendenden Dienst aus. Das DNS-seitige Rollback sollte die geänderten Datensätze wiederherstellen, nicht die automatischen Einstellungen erneut aktivieren oder eine gesamte alte Zone wiederherstellen, ohne nicht zusammenhängende Änderungen zu vergleichen.
Beweisen Sie die Identität beim Empfänger
Verwenden Sie ein kontrolliertes externes Postfach und senden Sie es mit harmlosen Inhalten und ohne Kundendaten durch den Produktionsworkflow. Speichern Sie die Rohnachricht, den Zeitstempel und die des empfangenden Systems Authentication-Results. Ignorieren Sie Authentifizierungszusicherungen, die von einem nicht vertrauenswürdigen Absender eingefügt wurden. Notieren Sie die sichtbare Absenderdomäne. Return-Path oder authentifizierte Umschlagidentität und jedes DKIM -d=- und s=-Paar. Ein Anzeigename oder eine Antwortadresse ist nicht die DMARC Identität.
SPF Pass autorisiert den Verbindungsserver für die ausgewertete Umschlagidentität. DKIM Pass validiert eine Signatur für seine Signaturdomäne. DMARC benötigt eine Übergabemethode, deren Domäne mit dem sichtbaren From: strict übereinstimmt Ausrichtung erfordert die gleiche Domäne; Eine entspannte Ausrichtung ermöglicht die entsprechende Beziehung zwischen Organisation und Domäne. Eine anbietereigene Signatur kann ohne Authentifizierung Ihres sichtbaren Absenders bestehen. Ein Pass ausgerichtet DKIM Signatur kann DMARC auch dann erfüllen, wenn eine andere Signatur fehlschlägt. Diese Protokollregeln stammen aus RFC 7208 , RFC 6376 und RFC 9989, unten aufgeführt.
Überprüfen Sie das autorisierende DNS bevor Sie Caches diagnostizieren. Fragen Sie einen autorisierenden Server nach dem genauen Namen und Typ und vergleichen Sie dann einen rekursiven Resolver nach seiner zwischengespeicherten Lebensdauer. Für DKIM folgen Sie einem beliebigen CNAME zu seiner TXT Antwort mit öffentlichem Schlüssel. Veröffentlichen Sie niemals einen privaten Schlüssel. Behalten Sie eine SPF Richtlinie für jeden ausgewerteten Namen bei und überprüfen Sie das Limit von zehn DNS-Lookup-verursachenden Begriffen für alle verschachtelten Includes. Ersetzen Sie eine gemeinsame SPF -Richtlinie nicht durch ein Anbieterbeispiel.
Erholung und Akzeptanz
Pausieren Sie den betroffenen Workflow, wenn Tests eine neue Regression zeigen. Vergleichen Sie den geänderten Datensatz mit der gespeicherten Version und machen Sie nur diese Änderung rückgängig, nachdem Sie andere Absender überprüft haben. Überprüfen Sie DNS erneut und senden Sie es nach der Wiederherstellung erneut. Durch das Zurücksetzen eines Werts wird nicht jeder Resolver sofort geleert. Halten Sie alte DKIM Verifizierungsdatensätze verfügbar, während zuvor signierte Nachrichten möglicherweise noch übertragen werden, es sei denn, ein Sicherheitsvorfall erfordert eine Sperrung.
Akzeptieren Sie die Änderung nur, wenn DNS , Anwendungsstatus und eine tatsächlich empfangene Nachricht übereinstimmen. Erfassen Sie den Flow-Eigentümer, den Beweiszeitstempel und den Auslöser für die nächste Überprüfung. Die Platzierung im Posteingang allein ist kein Beweis für die Authentifizierung, und eine erfolgreiche Authentifizierung garantiert keine Platzierung im Posteingang. Verschärfen Sie die DMARC Richtlinie einer gemeinsam genutzten Domain nicht aufgrund des Tests eines Anbieters. Machen Sie zunächst eine Bestandsaufnahme der anderen legitimen Quellen.
Diagnostizieren Sie einen korrekt aussehenden Eintrag in der falschen Zone
Im schriftlichen Fall TI-01 wird davon ausgegangen, dass die Domain bei TransIP registriert ist, ihre öffentliche Delegation jedoch auf einen anderen DNS Betreiber verweist. Ein gespeicherter TransIP-Panel-Eintrag zur Überprüfung. _domainkey.news stellt keine Veröffentlichung unter review._domainkey.news.example.org her. Der Domaininhaber muss den maßgeblichen Betreiber bestätigen und dort den genehmigten Eintrag veranlassen; Das Ändern von Nameservern oder das Aktivieren automatischer Einstellungen ist keine Abhilfemaßnahme. Öffentliche Antworten, ausgegebene d=/s= und Empfängerergebnisse bleiben unbekannt, bis sie separat erfasst werden. Dieses Szenario ist festgelegt, keine tatsächliche DNS Suche oder Panel-Aktion.
Behalten Sie die Durchsetzungsgrenze bei
RFC 9989 Abschnitt 7.4 erfordert gültiges DKIM , nicht nur SPF , für Domains, die p=reject, und warnt vor der Interoperabilität von indirekter E-Mail und Mailinglisten. Ein einziger erfolgreicher Direktnachrichtentest ist kein Beweis dafür, dass jede legitime Route für strengere Richtlinien bereit ist. Behalten Sie den vorhandenen zugelassenen Schutz bei, während Sie die tatsächliche Lücke diagnostizieren. Jede politische Änderung erfordert eine eigene Entscheidung.