Identifizieren Sie die Domäne und das Critical Impact-Konto
Critical Impact dokumentiert die Absenderauthentifizierung als einen Konto-Workflow, der domänenspezifische DNS Anweisungen erstellt, veröffentlichte Werte mit diesen Anweisungen vergleicht und dann die Authentifizierung startet. In diesem Handbuch wird das dokumentierte Absenderauthentifizierungstool behandelt. Es stellt nicht sicher, dass ein bestimmtes Abonnement das Tool verfügbar macht, dass eine Domäne bereits autorisiert ist oder dass eine Nachricht die Prüfungen eines Empfängers bestanden hat. Dafür sind Konto- und Nachrichtennachweise erforderlich. Die dokumentierte Navigation ist Konto, dann Absenderauthentifizierung; Fehlt das Tool, verweist der Anbieter den Kunden an seinen Account Manager. Die Verfügbarkeit ist daher eine Voraussetzung und keine Kontrolle, die in diesem Artikel vorausgesetzt werden kann. Critical Impact-Einrichtungsanleitung
Beginnen Sie mit der eigentlichen Domain oder Subdomain, die versendet werden soll. Identifizieren Sie den Geschäftsinhaber, das Konto, das es verwendet, den autorisierenden DNS Betreiber und alle anderen Systeme, die bereits unter derselben Identität senden. Eine Website-Domain und die sichtbare Von-Domain einer Kampagne können unterschiedlich sein. Wenn Sie die beabsichtigte Identität aufzeichnen, bevor Sie DNS Anweisungen erhalten, vermeiden Sie die Konfiguration einer ungenutzten übergeordneten Domäne, während die Unterdomäne der Kampagne unberührt bleibt. Dies ist ein vorgeschlagener Vorbereitungsschritt und kein Anspruch auf eine automatisierte Inventarisierungsfunktion.
Erhalten Sie die eindeutigen Anweisungen, ohne sie als wiederverwendbare Standardeinstellungen zu behandeln
Die dokumentierte Reihenfolge lautet „Domäne hinzufügen“, „Domäne oder Unterdomäne eingeben“ und „Speichern“. Wählen Sie diese Domäne im Raster aus und wählen Sie Domäne authentifizieren, um die Anweisungen zu erhalten. Critical Impact beschreibt ein einzigartiges DKIM TXT Eintrag für jede Domain und einen IP4-Mechanismus zum Hinzufügen zu den vorhandenen SPF Politik. Ersetzen Sie diese vom Konto generierten Werte nicht durch ein Rekord von einem anderen Kunden, einer anderen Domain oder einem alten Screenshot kopiert. Ersetzen Sie die dokumentierte IP4-Anweisung nicht durch einen vermuteten Include-Mechanismus. Erläuterung der Absenderauthentifizierung
Bewahren Sie die generierten Eigentümernamen, Datensatztypen und vollständigen Werte zusammen mit dem Konto und der Domäne auf, die sie erstellt haben. Ein Prüfer sollte in der Lage sein, einen angeforderten neuen Datensatz von einer Änderung eines vorhandenen Datensatzes zu unterscheiden. DNS Editoren unterscheiden sich in der Behandlung relativer Namen und Domänensuffixe, daher sollte der beabsichtigte vollqualifizierte Name im Änderungsantrag explizit bleiben. NEIN Wähler, Adresse oder öffentlicher Schlüssel in diesem Artikel ist ein Implementierungswert.
Die Aktion „E-Mail-Anweisungen“ des Tools sendet Anweisungen an die E-Mail-Adresse des angemeldeten Benutzers. Es handelt sich um eine Kommunikationsaktion, nicht nur um eine Bildschirmvorschau. Entscheiden Sie, ob dieser Empfänger und dieses Postfach geeignet sind, bevor Sie es verwenden. Dieser Leitfaden hat diese Anweisungen nicht gesendet oder einen Account Manager kontaktiert. Der Anbieter-Workflow wird beschrieben, sodass ein autorisierter Bediener ihn planen kann. Critical Impact-Einrichtungsanleitung
Behalten Sie vorhandene Absender bei der Vorbereitung DNS Änderungen bei
Critical Impact weist darauf hin, dass keine vorhandenen Dateien gelöscht werden sollen SPF Eintrag um seine Autorisierung hinzuzufügen. Aktualisieren Sie stattdessen die vorhandene Richtlinie mit dem ausgegebenen Mechanismus. SPF lässt nur eine ausgewählte SPF -Richtlinie für einen bestimmten Besitzernamen zu; Die Veröffentlichung einer zweiten konkurrierenden Richtlinie ist kein sicherer Weg, die erste zu bewahren. Behalten Sie die Autorisierung für noch genehmigte Absender bei, überprüfen Sie Syntax und Reihenfolge und bewerten Sie den gesamten ausgewerteten Abhängigkeitspfad, in dem DNS-Suchmechanismen vorhanden sind. Ein IP4-Begriff ist kein Include und führt selbst keine DNS Suche durch, andere Begriffe in der resultierenden Richtlinie können jedoch dennoch dazu führen, dass die Auswertungsgrenzen überschritten werden. Erläuterung der Critical-Impact-Authentifizierung RFC 7208
Verwenden Sie für DKIM den eindeutigen TXT Besitzer und -Schlüssel, der für diese Domäne bereitgestellt wird. Zeichnen Sie auf, ob das DNS Panel Präsentationszitate anzeigt oder einen langen TXT Wert in Zeichenfolgen aufteilt, und validieren Sie dann den resultierenden Datensatz, anstatt einen Screenshot als Beweis auf Drahtebene zu interpretieren. Der veröffentlichte öffentliche Schlüssel eines Selektors ermöglicht die Überprüfung übereinstimmender Signaturen. Die Veröffentlichung eines Schlüssels beweist nicht, dass der sendende Dienst begonnen hat, Nachrichten damit zu signieren. Die Domäne und der Selektor der tatsächlichen Signatur müssen später mit der beabsichtigten Konfiguration verglichen werden. RFC 6376
Separater Vergleich, Aktivierung und Nachweis der empfangenen Nachricht
Das Authentifizierungs-Popup unterscheidet vorhandene DNS Werte von empfohlenen DNS Werten. Die Einrichtungsanleitung von Critical Impact weist den Bediener an, die Werte zu vergleichen und mit der Authentifizierung zu beginnen, wenn die Werte grün sind. Eine rote Nichtübereinstimmung muss untersucht werden: Falscher Eigentümer, kopierter Wert, fehlender Datensatz, veraltete Resolver-Antwort oder eine unvollständige Änderung sind verschiedene Probleme. In der Erläuterung werden auch Zeitvorgaben und ein Warnpfad beschrieben, wenn die Werte noch nicht übereinstimmen. Dieses vorgeschlagene Annahmeverfahren nutzt diesen Warnpfad nicht, um auf die Vergleichspflicht zu verzichten. Critical Impact-Einrichtungsanleitung
Nach der Initiierung beschreibt die Dokumentation eine Benachrichtigungs-E-Mail und einen Authentifiziert-Status im Domänenraster. Bei den Zeitschätzungen handelt es sich um Planungsinformationen und nicht um einen Beweis dafür, dass ein bestimmter Datensatz bis zu einem bestimmten Termin korrekt sein wird. Notieren Sie den beobachteten Zustand und die beobachtete Zeit, anstatt die verstrichene Zeit in Erfolg umzuwandeln. Wenn sich DNS Einstellungen später ändern, weist der Anbieter die Benutzer an, die Domäne erneut zu authentifizieren und die Werte erneut zu überprüfen. Behalten Sie diese erneute Validierungsabhängigkeit im operativen Runbook bei. Erläuterung der Absenderauthentifizierung
Das Authentifiziert-Label eines Kontos ist ein Prüfpunkt. Bei einer späteren autorisierten Nachrichtenbewertung sollten die sichtbare Absenderdomäne, SPF Identität und das Ergebnis, DKIM Signaturdomäne und das DKIM-Ergebnis separat identifiziert werden DMARC Ausrichtung. DMARC kann ein ausgerichtetes SPF Ergebnis oder ein DKIM Ergebnis durchlaufen; es ist nicht generell erforderlich, dass beide bestehen. Die Authentifizierung garantiert auch nicht die Platzierung im Posteingang oder validiert die geschäftliche Absicht einer Nachricht. RFC 9989
Behandeln Sie das angezeigte DMARC Beispiel als Richtlinienentscheidung
Die Erklärung des Anbieters beschreibt einen aktuellen DMARC Wert und einen empfohlenen Beispiel- DMARC Wert im Popup. Ein Beispiel ist keine Erlaubnis, die Richtlinie einer Organisation zu ersetzen. Überprüfen Sie alle legitimen Versandwege, Meldeziele und Konsequenzen, bevor Sie eine Richtlinienänderung genehmigen. Der Schwerpunkt dieses Manuskripts liegt auf der Konfigurationsplanung und Beweiserhebung, nicht auf einer Empfehlung, einer nicht untersuchten Domäne eine bestimmte Durchsetzungsrichtlinie aufzuzwingen. Halten Sie DMARC Entscheidungen getrennt vom Kopieren des ausgestellten DKIM Schlüssels oder dem Zusammenführen einer Absenderautorisierung. Erläuterung der Absenderauthentifizierung
Leeres Arbeitsblatt zur Akzeptanz
- Konto, vorgesehene Sendedomäne, Geschäftsinhaber und Toolverfügbarkeit: ____.
- Generierte Anweisungen, erfasst bei, zugelassenem DNS Betreiber und genauen Eigentümernamen: ____.
- Vorhandener SPF beibehalten, ausgestellte IP4 überprüft, vollständige Richtlinie überprüft: ____.
- Eindeutiger DKIM TXT Wert und Domänenbindung überprüft: ____.
- Vorhandene im Vergleich zu empfohlenen Werten, Nichtübereinstimmungserklärung und Genehmigung: ____.
- Beginn der Authentifizierung autorisiert, beobachteter Netzstatus und Benachrichtigung: ____.
- Eigentümer DMARC -Richtlinienentscheidung und gegebenenfalls separate Genehmigung: ____.
- Autorisierte Beweise für empfangene Nachrichten, Ausrichtungsergebnis und ungelöste Routen: ____.
- Revalidierungsauslöser nach späteren DNS Änderungen und Release-Eigentümer: ____.
Fiktive Diagnose: Der grüne Vergleich war nicht der letzte Test
Eine fiktive Wohltätigkeitsorganisation bereitet die Authentifizierung für notices.example vor. Beispiel . Sein Betreiber kopiert zunächst einen DKIM Schlüssel, der zuvor für appeals.example ausgegeben wurde. Der Prüfer stoppt die Änderung, da die Anweisungen domänenspezifisch sind, ruft den vorgeschlagenen Änderungsdatensatz der richtigen Domäne ab und behält die vorhandenen SPF Absender bei, während er die ausgestellte Autorisierung hinzufügt. Nichts in dieser Abbildung ist eine echte DNS Abfrage oder Mandantenaktion.
In der fiktiven Überprüfung wird der Vergleich später grün und das Konto zeigt schließlich Authentifiziert an. Das Team lässt die Nachrichtenannahme noch offen: Ein Kampagnenentwurf verwendet eine andere From-Subdomäne und keine empfangene Nachricht hat ihre Signaturidentität festgestellt. Sie korrigieren den Bestand und fordern eine autorisierte streckenspezifische Prüfung, anstatt jede Unternehmens-E-Mail als authentifiziert zu erklären. Das nützliche Ergebnis ist eine klare Trennung zwischen übereinstimmenden DNS Anweisungen, Anbieteraktivierung und Beweisen über die tatsächlich gesendete Nachricht.
Die Freigabe bleibt unter Vorbehalt
Die für den Katalog erforderlichen Originalnachweise, die Anwendbarkeit auf aktuelle Konten, Live DNS , das Verhalten bei empfangenen Nachrichten, die menschliche Überprüfung, die visuelle Zugänglichkeit und die Freigabe durch den Eigentümer bleiben ungeprüft. Dieser dokumentarische Leitfaden liefert einen vorgeschlagenen Arbeitsablauf und eine explizit fiktive Diagnose. Es handelt sich nicht um eine abgeschlossene Bereitstellung, eine Zustellgarantie oder die Autorisierung, DNS zu ändern, Anweisungen zu senden, Richtlinien zu ändern oder den Artikel zu veröffentlichen.