Geltungsbereich: Identifizieren Sie die Jive-Bereitstellung, bevor Sie DNS bearbeiten
Die Einrichtungsanleitung von Jive trennt Cloud- und gehostete Installationen. Es ist SPF In den Anweisungen wird auch zwischen US- und EU-Cloud-Routen unterschieden. Betrachten Sie diese Verzweigung als Voraussetzung: Ein bekannter Produktname reicht nicht aus, um DNS Daten auszuwählen. Diese Überprüfung betrifft Jive-Benachrichtigungs-E-Mails, nicht ein anderes Produkt namens Jive oder einen allgemeinen Dienst für ausgehende E-Mails. Jive-Setup
Der Administrator sollte zunächst das Geschäftsereignis beschreiben, das die Nachricht erzeugt. Eine Community-Benachrichtigung, eine kennwortbezogene Nachricht und ein von der Anwendung generierter Digest können unterschiedliche Konfigurations- oder Zustellungsabhängigkeiten haben. Notieren Sie die genaue Installation, den Dienstinhaber, die sendende Domäne und die erwarteten Empfänger. Leiten Sie das Bereitstellungsmodell nicht aus einem E-Mail-Logo oder dem geografischen Hauptsitz der Organisation ab. Holen Sie sich eine aussagekräftige Kontobeschreibung, bevor Sie eine dokumentierte Filiale auswählen.
Dies ist eine vorgeschlagene Konfigurations- und Akzeptanzmethode. Für diesen Artikel wurde auf kein Jive-Konto zugegriffen, kein DNS Eintrag geändert und keine Nachricht gesendet. Die aktuelle Anwendbarkeit auf eine bestimmte Installation bleibt ungeprüft. Die Überprüfung der Dokumentation kann nicht den ursprünglichen Nachweis der empfangenen Nachricht liefern, der für die Akzeptanz der Implementierung erforderlich ist.
Besorgen Sie sich das richtige, vom Anbieter generierte Material
Das Dokumentierte DKIM Der Workflow verwendet vom Support generiertes öffentliches Material: TXT für gehostet und CNAME Datensätze für die Cloud. Die angeforderte Wähler muss genau drei Zeichen lang sein. Geben Sie die E-Mail-Domäne an; Cloud-Kunden haben keinen Zugriff auf die angegebene Server-Admin-E-Mail-Einstellung und sollten den Support informieren. Jive übernimmt die Implementierung und stellt dann die DNS Einträge des Kunden bereit. Es ist DMARC Durch die Einrichtungsanleitung wird die Verantwortung dem IT-Team des Kunden übertragen. Jive-Workflow
Bereiten Sie eine Anfrage vor, anstatt einen Schlüssel oder Selektor zu erfinden. Die vorgeschlagene Anfrage sollte die bestehende Installation und die beabsichtigte Sendeidentität angeben, fragen, welcher Bereitstellungszweig gilt, und vollständige öffentliche DNS Anweisungen anfordern. Fügen Sie niemals einen privaten Signaturschlüssel, ein Kontokennwort oder ein Sitzungstoken in ein Änderungsarbeitsblatt ein. Die Unterstützung des Anbieters beim Signieren berechtigt keinen separaten Administrator, die domänenweite Richtlinie der Organisation zu ändern.
Halten Sie das bereitgestellte Material einer bestimmten Änderungsversion zugeordnet. Wenn eine Support-Antwort später den Datensatztyp, den Eigentümer oder das Ziel ändert, stoppen Sie die ausstehende Genehmigung und gleichen Sie die Differenz aus. Ein früherer Screenshot sieht möglicherweise immer noch plausibel aus, während er eine andere Region, Bereitstellung oder Schlüsselgenerierung beschreibt. Der DNS Administrator benötigt vollständige aktuelle Werte und kein abgeleitetes Muster, das aus nicht zusammenhängenden Beispielen zusammengestellt wird.
Behalten Sie die bestehende SPF Richtlinie bei
SPF wertet die entsprechende SMTP Identität aus, nicht nur die Adresse, die eine Person in der Nachricht sieht. Unterscheiden Sie die POST VON Identität aus der HELO Identität beim Aufzeichnen von Beobachtungen. Ein bestandenes Ergebnis für eine vom Anbieter kontrollierte Umschlagdomäne stellt nicht automatisch einen Wert dar Ausrichtung mit der sichtbaren Autorendomäne. RFC 7208 , Abschnitte 2.3 und 2.4
Bevor Sie eine Änderung vorschlagen, besorgen Sie sich die vollständige bestehende Richtlinie und identifizieren Sie den Eigentümer. Behalten Sie genehmigte Absender bei, die nichts mit dieser Jive-Bereitstellung zu tun haben. Erstellen Sie keine zweite SPF Richtlinie beim selben Eigentümer, um das Verständnis der ersten zu vermeiden. Überprüfen Sie die resultierenden Auswertungspfade, einschließlich verschachtelter Abhängigkeiten: Das Lookup-Term-Limit des Protokolls ist keine Anzahl sichtbarer Include-Strings oder Netzwerkpakete. Durch Caching ist die Überschreitung dieses Grenzwerts nicht gestattet. RFC 7208 , Abschnitte 3.2 und 4.6.4
Die Jive-Seite enthält einen routenabhängigen Hinweis zum Entfernen einer SendGrid Referenz nach DKIM Einrichtung. Benutzen Sie diesen Hinweis nicht als allgemeine Anweisung zum Entfernen: Stellen Sie zunächst den tatsächlichen Umschlagpfad und alle anderen Absenderabhängigkeiten fest. Jive SPF Anleitung
Schreiben Sie die beabsichtigte Änderung als Abweichung vom genehmigten Basisplan. Notieren Sie, was hinzugefügt wird, was beibehalten wird und was zur Entfernung vorgeschlagen wird. Wenn der Besitz einer vorhandenen Abhängigkeit unbekannt ist, lassen Sie diese Frage ungelöst, anstatt sie stillschweigend zu löschen. Eine erfolgreiche Bearbeitung in einer DNS Schnittstelle ist ein Beweis für eine Verwaltungsaktion und kein Beweis dafür, dass sich die gesamte E-Mail-Bevölkerung noch authentifiziert.
Geben Sie den genauen Eigentümer und den öffentlichen Wert bekannt
Erfassen Sie für jeden vorgeschlagenen Datensatz den vollständig qualifizierten Eigentümer unabhängig von der Anzeige im DNS -Editor. Einige Editoren akzeptieren relative Bezeichnungen, während andere vollständige Namen anzeigen. Eine Masterdateikonvention beweist nicht, wie eine bestimmte grafische Oberfläche mit dem Domänensuffix umgeht. Bestätigen Sie vor dem Speichern den resultierenden Eigentümer mithilfe der eigenen Regeln des DNS Anbieters. RFC 1035 , Abschnitt 5.1
Behalten Sie den Datensatztyp gemäß den Anweisungen des jeweiligen Anbieters bei. Wandeln Sie eine CNAME Delegierung nicht in einen lokal erfundenen TXT Schlüssel um und ersetzen Sie einen bereitgestellten öffentlichen Schlüssel nicht durch einen aus einem Beispiel. Unterscheiden Sie bei TXT Daten zwischen Zeichenfolgen innerhalb eines einzelnen Ressourcendatensatzes und separaten Ressourcendatensätzen. Beim Teilen von Anzeigetext müssen die vorgesehenen Bytes erhalten bleiben. Das Hinzufügen eines unabhängigen Datensatzes ist ein anderer Vorgang. RFC 1035 , Abschnitt 3.3.14
Behandeln Sie einen vorhandenen Selektor als eine Abhängigkeit, die untersucht werden muss. Identifizieren Sie den aktuellen Signaturablauf, bevor Sie etwas mit diesem Namen überschreiben. Ein vorgeschlagenes Rollback sollte erklären, welche DNS Version wiederhergestellt werden kann und ob der Anbieter seinen Signer bereits geändert hat. Das Wiederherstellen des alten DNS ohne Koordinierung der Signaturseite kann zu einer weiteren Nichtübereinstimmung führen, anstatt die erste zu reparieren.
Überprüfen Sie die Nachricht, nicht nur den Datensatz
Die Akzeptanzprüfung sollte eine autorisierte Nachricht aus dem tatsächlichen Anwendungsworkflow sammeln und vertrauenswürdige Empfängerergebnisse bewahren. Zeichnen Sie die sichtbare Absenderdomäne, die Umschlagidentität, jede DKIM Signaturdomäne und jeden Selektor sowie die Authentifizierungsergebnisse des Empfängers auf. DKIM bindet eine Signatur an eine Signaturdomäne und ausgewählte Nachrichtendaten; Das Vorhandensein eines DNS Schlüssels beweist nicht, dass die Anwendung ihn verwendet hat. RFC 6376 , Abschnitte 3.5 und 3.6.2.2
Trennen Sie den Authentifizierungserfolg von der Ausrichtung. DMARC kann über einen qualifizierenden SPF Pfad oder einen qualifizierenden DKIM Pfad erfolgreich sein. Weder dieser Erfolg noch eine Anbieterbestätigung garantieren die Platzierung im Posteingang oder beweisen, dass eine geschäftliche Anfrage in einer Nachricht sicher ist. Bewerten Sie die tatsächlichen Identifikatoren anhand der geltenden Ausrichtungsregeln, anstatt zwei grüne Dashboard-Beschriftungen als ausreichenden Beweis zu interpretieren. RFC 9989 , Abschnitte 2.4 und 4.4
Wenn ein Vermittler den Lieferpfad ändert, diagnostizieren Sie SPF und DKIM unabhängig voneinander. Eine andere Verbindungs-IP kann sich auf SPF auswirken, aber dieser Umstand allein erklärt nicht den Ausfall DKIM Signatur. Untersuchen Sie den relevanten öffentlichen Schlüssel, die Signatur und die signierten Daten, bevor Sie einen Fehler zuordnen. Reagieren Sie nicht, indem Sie die Sicherheitskontrolle weitgehend umgehen. Eine knapp genehmigte Trassierungskorrektur bedarf einer eigenen Beweisführung und Eigentümerentscheidung.
Fiktive Diagnose: Das falsche Einsatzarbeitsblatt
Stellen Sie sich eine fiktive Organisation vor, Cedar Beispiel, deren Administrator ein TXT-Schlüssel-Arbeitsblatt vorbereitet, nachdem er die Anweisungen für gehostete Installationen gelesen hat. Der Kontoinhaber erstellt dann eine Cloud-Support-Antwort mit CNAME Einträgen. Es wurde noch keine DNS Änderung genehmigt. Die Diskrepanz ist ein Fehler im Bereitstellungszweig und kein Beweis dafür, dass eines der beiden Datensatzformate allgemein falsch ist.
Das Überprüfungsteam zieht das unvollständige Arbeitsblatt zurück, zeichnet die bestätigte Route des Kontos auf und bittet den DNS Besitzer, die vollständig bereitgestellten Namen und Ziele zu überprüfen. Vorhandene Selektordatensätze bleiben unberührt, bis ihre Besitzer bekannt sind. Erst nach einer separat genehmigten Implementierung würde das Team eine empfangene Nachricht sammeln und ihre Identität mit dem genehmigten Plan vergleichen. Dieses Szenario wurde erfunden, um einen Entscheidungsprozess zu veranschaulichen. Es enthält kein beobachtetes Mandantenergebnis oder ausführbare Kundenwerte.
Leeres Arbeitsblatt zur Annahme und Freigabeentscheidung
- Installations- und Bereitstellungsmodell: ______. Region und Beweisinhaber: ______.
- Benachrichtigungsworkflow und beabsichtigte sichtbare Absenderdomäne: ______.
- Aktuelles Datum der Supportanweisung und anwendbarer Produktumfang: ______.
- Bestätigung der Selektorlänge und Überprüfung der Abhängigkeit des vorhandenen Selektors: ______.
- Vollständig bereitgestellte Datensatzbesitzer, Typen und öffentliche Werte: ______.
- Bestehende SPF Basislinie und genehmigte Änderungsdifferenz: ______.
- Erwartung der Umschlagdomäne und Überprüfung des Suchpfads: ______.
- Benennungsverhalten DNS Editors und daraus resultierende Beweise des öffentlichen Eigentümers: ______.
- Anbieterseitige Implementierungsbestätigung: ______.
- Autorisierte Nachrichtenreferenz und vertrauenswürdige Empfängeridentitätstabelle: ______.
- Ausrichtungsergebnis, verbleibender Fehler und Rollback-Besitzer: ______.
- Unabhängiger Prüfer, Veröffentlichungseigentümer und Prüfdatum: ______.
Lassen Sie ein Feld leer, wenn keine Beweise vorliegen. Ein Leerzeichen ist eine nützliche Kontrolle, da es verhindert, dass die dokumentarische Bereitschaft zu einem Anspruch auf betriebliche Fertigstellung wird. Originalbeweise, menschliche KMU-Überprüfung, Quellenanwendbarkeit, Produktionswege, visuelle Zugänglichkeit und Eigentümerfreigabe bleiben für diesen Entwurf offen. Überprüfen Sie die Bewertung erneut, wenn sich die Bereitstellungsroute, die Anweisungen des Anbieters, das Signaturmaterial oder der Domänenbesitz ändern.