HR-Systeme können Nachrichten versenden, die wie interne E-Mails aussehen, aber von Rekrutierungsplattformen, Gehaltsabrechnungsanbietern und Mitarbeiterserviceanwendungen stammen. Die erste Aufgabe besteht darin, für jede Route das tatsächliche Konto und den Eigentümer der Organisation zu ermitteln. Eine erkennbare Lieferantenmarke ist kein Beweis dafür, dass eine bestimmte Bewerber-E-Mail oder Gehaltsabrechnung vom Arbeitgeber autorisiert wurde.
Teilen Sie das Eigentum auf, bevor Sie die Richtlinie ändern
Weisen Sie Einstellungsbenachrichtigungen dem Eigentümer des Personalbeschaffungsbetriebs, Gehaltsabrechnungsmitteilungen dem Eigentümer des Lohn- und Gehaltsabrechnungsdienstes und Mitarbeiteraktualisierungen dem Eigentümer des Personalbetriebs zu. Anbieter-Mandanten, Zweck, Von-Identität, Umschlagdomäne aufzeichnen, DKIM Domain signieren und Wähler, Antwortweiterleitung und genehmigter Supportkontakt. Wenn ein Anbieter mehrere Tochtergesellschaften bedient, notieren Sie, welche juristische Person und Domäne jedes Konto verwenden soll, anstatt die Gruppe als einen undifferenzierten Absender zu behandeln.
Das Inventar sollte operative Metadaten enthalten, keine Lebensläufe der Kandidaten, Gehaltsdetails oder Mitarbeiterkennungen. Bewahren Sie alle erforderlichen eingeschränkten Beweise unter geeigneten Zugriffs- und Aufbewahrungskontrollen auf. Beim Debuggen der Authentifizierung handelt es sich nicht um die Berechtigung, Personaldaten in ein allgemeines E-Mail-Fehlerbehebungsticket zu kopieren.
Verstehen Sie, was das Ergebnis bedeutet
RFC 9989 wertet die authentifizierte Domänennutzung aus. Es beweist nicht, dass ein Angebot gültig ist, eine Gehaltsanpassung korrekt ist oder ein Personalvermittler berechtigt ist, eine Verpflichtung einzugehen. Behalten Sie Beschäftigungsentscheidungen und Änderungen von Bankdaten im Rahmen ihrer eigenen Überprüfungsprozesse. Ein kompromittiertes genehmigtes Konto kann weiterhin authentifizierte irreführende Inhalte senden.
Verwenden Sie Ergebnisse und Header des vertrauenswürdigen Empfangssystems, um die sichtbare Absenderidentität mit der authentifizierten Identität zu vergleichen. Verlassen Sie sich nicht auf einen Screenshot, der ein Lieferantenlogo oder einen nicht vertrauenswürdigen Header enthält, der vom Absender eingefügt wurde. Fragen Sie den Anbieter nach seinem aktuellen, kontospezifischen Verfahren zur benutzerdefinierten Domäne und bewahren Sie Konfigurationsnachweise auf, ohne Anmeldeinformationen preiszugeben.
Überprüfen Sie die Kündigung des Mitarbeiters, ohne Lohnnachweise auszuleihen
Angenommen, Kandidaten- und Gehaltsabrechnungsbenachrichtigungen verwenden Signaturdomänen, die ihren jeweiligen Absenderdomänen entsprechen, während employees.hr.example im Absender einer Mitarbeiterbenachrichtigung erscheint und provider.example.net die DKIM d=-Domäne ist. Selbst wenn man davon ausgeht, dass die Signatur überprüft wird, scheitert sie am strikten DKIM Ausrichtung. Hierbei handelt es sich um hypothetische Identitäten, nicht um signierte Exemplare oder tatsächliche kryptografische Prüfungen. Ein Lohn- und Gehaltsabrechnungsergebnis kann keine separate Diskrepanz zwischen Mitarbeiter und Kündigung schließen.
RFC 9989 Abschnitte 4.4 und 5.3.5 Für eine vollständige Betrachtung müssen die anderen relevanten ausgerichteten Pfade berücksichtigt werden DMARC Ergebnis. Für p=reject Für die Bereitstellung erfordern die Abschnitte 7.4 und 8 stattdessen ein gültiges DKIM SPF allein. Unabhängig davon kann es vorkommen, dass die Antwort eines Kandidaten trotz einer weitergeleiteten ausgehenden Nachricht die falsche Rekrutierungswarteschlange erreicht. Überprüfen Sie das genehmigte Antwortziel anhand fiktiver Datensätze und kontrollierter Konten, nicht anhand realer Bewerber oder Personaldetails.
Testen Sie die tatsächlichen Mitarbeiter- und Kandidatenreisen
Verwenden Sie ein genehmigtes fiktives Bewerber- und Mitarbeiterkonto in einer unterstützten Testumgebung. Lösen Sie eine Bewerbungsbestätigung, eine harmlose Gehaltsabrechnungsbenachrichtigung und eine Mitarbeiteraktualisierung über ihre echten Bewerbungsabläufe aus. Bestätigen Sie kontrollierten Empfang, Authentifizierung und Antwortweiterleitung. Stellen Sie sicher, dass eine Kandidatenantwort die erwartete Rekrutierungswarteschlange erreicht, ohne die Daten eines anderen Bewerbers preiszugeben. Behandeln Sie den Zugriff auf Dokumente und die Richtigkeit des Inhalts als separate Akzeptanzkriterien.
Wenn der Lieferant nur seine eigene Absenderidentität anbietet, sollte der Geschäftsinhaber entscheiden, ob eine klar dargestellte unterstützte Adresse den Workflow-Anforderungen entspricht. Fälschen Sie nicht die Identität des Arbeitgebers durch eine nicht unterstützte Konfiguration und fügen Sie keine weitreichenden Umgehungsregeln hinzu, nur um einen Test erfolgreich erscheinen zu lassen. Testen Sie unterstützte Änderungen erneut und dokumentieren Sie alle verbleibenden Einschränkungen.
Halten Sie Offboarding mit der Absender-Governance verbunden
Überprüfen Sie die Berechtigungen, wenn ein Agenturvertrag endet, ein Lohn- und Gehaltsabrechnungsanbieter wechselt oder ein Personalsachbearbeiter ausscheidet. Bestätigen Sie den Nachfolger-Workflow, bevor Sie Schlüssel oder DNS Abhängigkeiten zurückziehen. Behalten Sie einen benannten Wiederherstellungseigentümer für zeitkritische Kandidaten- und Gehaltsabrechnungsnachrichten bei. Markieren Sie die Route nur dann als akzeptiert, wenn der Serviceeigentümer den aktuellen Testnachweis genehmigt; Weder ein DNS Eintrag noch ein Authentifizierungspass stellen eine Beschäftigungs-, Datenschutz- oder Compliance-Zertifizierung dar.