Amazon SES -Nachrichten können erfolgreich authentifiziert werden, wenn Identitäten verwendet werden, die nicht mit der in „Von“ angezeigten Domäne übereinstimmen. A DMARC Das Setup benötigt daher die SES-Identitätskonfiguration und die tatsächlichen Ergebnisse der empfangenen Nachrichten der Anwendung.
Verwenden Sie das richtige AWS-Konto, die richtige Region und die richtige Identität. Erhalten Sie generierte Werte aus dieser Konfiguration, anstatt die Werte eines anderen Kontos zu kopieren Wähler Ziele oder die Annahme, dass eine Einrichtung anderswo die aktuelle Senderoute abdeckt.
Legen Sie das Identitäts- und Signaturmodell fest
Notieren Sie die sichtbare From-Domäne, die Anwendung und die von ihr verwendete SES-Konfiguration. Bestätigen Sie, ob DKIM wird über Easy DKIM , eine Bring-Your-Own-Key-Vereinbarung oder eine andere unterstützte Identitätskonfiguration bereitgestellt.
Bevor Sie ein funktionierendes Setup ändern, speichern Sie dessen aktuellen Status und prüfen Sie, wer der Eigentümer DNS und Signaturänderungen ist. Ein neuer Führer ist kein Grund, blind eine Arbeitsidentität wiederherzustellen.
Die Domänenüberprüfung und DKIM Signaturstatus sollten beide im tatsächlichen Dienst überprüft werden. Ein öffentlicher Schlüssel oder eine Delegation allein beweist nicht, dass die Anwendung mit der beabsichtigten Passsignatur sendet.
Konfigurieren Sie DKIM über die ausgewählte Identität
Für eine verifizierte Domänenidentität mit Easy DKIM dokumentiert AWS die Authentifizierungseinstellungen der Identität, die Easy DKIM Auswahl und die Signaturaktivierung. Es generiert die DNS -Verifizierungskonfiguration, die beim DNS Anbieter abgeschlossen werden muss.
Verwenden Sie den vollständigen bereitgestellten Datensatz und überprüfen Sie seine maßgeblichen Antworten. Bestätigen Sie den resultierenden Servicestatus und senden Sie dann eine repräsentative Bewerbungsnachricht an einen unabhängigen Empfänger.
Die Easy DKIM Anleitung von AWS Dokumentiert außerdem ein Migrationsrisiko beim Wechsel von BYODKIM zu Easy DKIM : Nachrichten werden möglicherweise nicht signiert, während die neue Konfiguration aussteht. Befolgen Sie die unterstützten Migrationsanweisungen und planen Sie kritischen Datenverkehr, anstatt davon auszugehen, dass der Wechsel reibungslos verläuft.
Überprüfen Sie die MAIL FROM-Domäne separat
SES verwendet standardmäßig eine amazonses.com -Subdomain POST VON Identität. Ein Vorübergehen SPF Das Ergebnis für diese Identität stellt für sich allein noch nicht fest Ausrichtung mit Ihrer eigenen sichtbaren Absenderdomäne.
Ein ausgerichteter Pass DKIM Signatur kann den DMARC Übergabepfad bereitstellen. Ein unterstütztes benutzerdefiniertes MAIL FROM-Setup kann auch eine SPF Identität unter einer entsprechenden Domänenbeziehung einrichten.
Wählen Sie eine dedizierte Subdomäne unter der übergeordneten Domäne einer verifizierten SES-Identität. Laut AWS darf es nicht für andere Zwecke verwendet werden, einschließlich des normalen Sendens oder Empfangens von E-Mails. Der benutzerdefinierte MAIL FROM-Name benötigt genau einen MX Eintrag; Mehrere MX Einträge führen dazu, dass die SES-Einrichtung fehlschlägt. Folgen Die benutzerdefinierten MAIL FROM-Anforderungen von AWS und verwenden Sie die generierten MX und SPF Werte der ausgewählten Identität. Diese Empfangsfunktion unterstützt die Bounce- und Beschwerdebearbeitung; Verwechseln Sie es nicht mit dem Verschieben der normalen Postfach- MX Einträge der Organisation.
Wählen Sie bewusst das MX-Fehlerverhalten
AWS dokumentiert zwei benutzerdefinierte MAIL FROM-Fehlerverhalten. Der Dienst kann auf seine standardmäßige MAIL FROM-Domäne zurückgreifen oder den Versand ablehnen, wenn die erforderliche MX Konfiguration der benutzerdefinierten Domäne nicht überprüft wird.
Der Fallback kann die SPF Identität und ihre Ausrichtungsbeziehung ändern. Dies bedeutet nicht unbedingt, dass DMARC fehlschlägt, da möglicherweise ein ausgerichteter DKIM Pfad verbleibt.
In einem synthetischen Fall hat eine Abrechnungsnachricht den Absender „From“ unter example.com und ist über DKIM ausgerichtet, die Validierung des benutzerdefinierten „MAIL FROM“ schlägt jedoch fehl und der zulässige Fallback verwendet die SES-Domäne. Die SPF-Ausrichtungserwartung hat sich geändert, während DKIM immer noch den Übergangspfad bereitstellen kann.
Dokumentieren Sie das ausgewählte Verhalten und seine Auswirkungen auf kritische Bewerbungsmails. Belassen Sie diese Entscheidung nicht als ungeklärte Vorgabe.
Für eine verifizierte Domänenidentität dokumentiert AWS diese Konsolensequenz:
- Öffnen Sie SES in der gewünschten Region, wählen Sie Konfiguration → Identitäten und wählen Sie dann die verifizierte Domäne aus.
- Wählen Sie unter „Benutzerdefinierte MAIL VON-Domäne“ die Option „Bearbeiten“ aus. Aktivieren Sie „Eine benutzerdefinierte MAIL FROM-Domäne verwenden“, geben Sie die dedizierte Subdomäne ein und wählen Sie „Verhalten bei MX Fehler“.
- Speichern Sie die Änderungen und kopieren Sie dann die MX und SPF TXT -Werte aus DNS Einträge veröffentlichen“ zum autorisierenden DNS Anbieter. Behalten Sie MX Einträge unabhängiger Postfächer unverändert bei.
Überprüfen Sie den resultierenden benutzerdefinierten MAIL FROM-Status in SES, die autorisierenden DNS Antworten und eine empfangene Anwendungsnachricht als separate Beweise. Der AWS-Verfahren ist die Referenz, wenn sich Konsolenbezeichnungen ändern; Diese Reihenfolge stellt keinen Anspruch darauf dar, dass diese Schritte ausgeführt wurden.
Veröffentlichen Sie die beabsichtigte DMARC Richtlinie
Bewerten Sie die bestehende Richtlinie, das Berichtsziel und die legitime Absenderpopulation der Domain. Behalten Sie eine bestehende stärkere genehmigte Richtlinie bei, während Sie ein separates SES-Konfigurationsproblem untersuchen.
Verwenden den Datensatz-Workflow für Veröffentlichungs- und Inkassokontrollen. Die Richtlinienauswahl sollte der tatsächlichen Nutzung der Domäne und den aktuellen Interoperabilitätsrichtlinien entsprechen und nicht einer allgemeinen Anweisung zur Veröffentlichungsablehnung.
Überprüfen Sie den endgültigen Bewerbungsweg
Senden Sie von der Anwendung, auf die Benutzer angewiesen sind, nicht nur von einer Konsole oder einem isolierten Testtool. Überprüfen Sie die ursprüngliche Nachricht beim Empfänger und behalten Sie Absender, die SPF-evaluierte Domäne, alle relevanten DKIM Signaturen und vertrauenswürdigen DMARC Ergebnisse bei.
Wiederholen Sie diesen Vorgang für wesentliche Regionen, Identitäten oder Routen, die tatsächlich verwendet werden. Wenn ein ausgehender Vermittler die Nachricht ändert, überprüfen Sie das Ergebnis nach dieser Route. Bewahren Sie den Anbieterstatus, DNS Beobachtungen und den Nachweis empfangener Nachrichten als separate Akzeptanzdatensätze auf.
Überwachen Sie nachfolgende Fehler und Änderungen an der benutzerdefinierten MAIL FROM-Konfiguration. Das nützliche Ergebnis ist eine unterstützte, eigene SES-Senderoute mit verifizierter Ausrichtung und verstandenem Fehlerverhalten.