Trennen Sie die Postfachmigration von der Authentifizierung
Proton Mail , früher allgemein ProtonMail genannt, unterstützt benutzerdefinierte Domain-Adressen in kostenpflichtigen Plänen. Es ist Leitfaden für benutzerdefinierte Domains trennt Domain-Verifizierung, Adresserstellung, MX Änderungen und Authentifizierung. Planen Sie diese als separate Abnahmepunkte. Der Empfang einer Nachricht im neuen Postfach beweist nicht, dass die ausgehende E-Mail die beabsichtigte Signatur aufweist, und a DKIM Die Überprüfung beweist nicht, dass nach einer Migration jede Geschäftsadresse vorhanden ist.
Beginnen Sie mit einem Adressinventar: einzelne Benutzer, Aliase, gemeinsame Geschäftsziele, automatisierte Absender und Antwortadressen. Identifizieren Sie jeden Dienst, der über dieselbe Domäne sendet, ohne Proton zu verwenden. Beauftragen Sie eine Person mit der Postfachumstellung und eine weitere Person damit, DNS zu überprüfen, sofern dies sinnvoll ist. Notieren Sie die vorhandenen MX und Authentifizierungsdatensätze, das genehmigte Änderungsfenster und den Entscheidungsträger, der die Umstellung stoppen kann.
Proton empfiehlt ausdrücklich, vor dem Umzug entsprechende Adressen anzulegen MX Einträge. Dies ist wichtig, da Nachrichten für fehlende Adressen den vorherigen Dienst nicht mehr erreichen, sobald sich das eingehende Routing geändert hat. Benutzen Sie die Migrationssequenz für das Konto und überprüfen Sie kritische Ziele mit kontrollierten Nachrichten, bevor Sie die Empfängerseite für abgeschlossen erklären.
Notieren Sie die genaue Domäne und die ausgegebenen Werte
Öffnen Sie die gewünschte Domäne in den Domäneneinstellungen von Proton und behalten Sie die dafür angezeigten Authentifizierungsanweisungen bei. Unterscheiden Sie den Datensatz zur Überprüfung des Domänenbesitzes von SPF, DKIM und DMARC. Sie beantworten unterschiedliche Fragen und sollten über separate Beweisfelder verfügen. Ersetzen Sie niemals die Werte im Konto durch veröffentlichte Datensätze einer anderen Organisation.
Der DNS Administrator sollte für jeden Eintrag den vollständigen Besitzernamen, den Eintragstyp und den erwarteten Wert aufzeichnen. Vergleichen Sie diese mit der Suffixbehandlung des DNS Editors und überprüfen Sie dann die veröffentlichten Antworten. Eine Beschriftung kann in einem Bedienfeld zwar optisch korrekt sein, aber unter dem falschen, vollständig qualifizierten Namen erscheinen. Bleiben Sie unabhängig TXT Datensätze und notieren Sie jede bestehende Nutzung der vorgeschlagenen DKIM Eigentümer, bevor Sie Änderungen vornehmen.
Wenn die Domain bereits von einem CRM, einer Website oder einem Abrechnungssystem verwendet wird, listen Sie diese Absender jetzt auf. Durch das Verschieben von Mitarbeiterpost zu Proton wird die direkte Zustellung einer separaten Anwendung nicht authentifiziert. Entweder muss die genehmigte Route dieser Anwendung über eine eigene gültige Authentifizierung verfügen oder es muss eine explizit entworfene Übermittlungsroute implementiert und getestet werden. Behandeln Sie unsichere Absender als Bestandslücken und nicht als Gründe, die Richtlinien der Domain sofort zu schwächen.
Behalten Sie eine kohärente SPF Richtlinie bei
Protons Anti-Spoofing-Dokumentation identifiziert include:_spf.protonmail.ch als seine SPF -Berechtigung und erklärt die Einbindung in eine bestehende Richtlinie. Verwenden Sie den empfohlenen Datensatz des Kontos und das vollständige Absenderinventar der Domain, um den endgültigen Wert vorzubereiten. Veröffentlichen Sie während einer Migration keine zweite Richtlinie für denselben Eigentümer und verwerfen Sie nicht die Autorisierung für eine andere legitime Route.
Bewerten Sie die gesamte Richtlinie gegen Die DNS-Suchregeln von SPF. Wählen Sie das abschließende Qualifikationsmerkmal bewusst aus, anstatt ein kopiertes Beispiel als organisationsweite Richtlinienentscheidung zu betrachten. Ein SPF Ergebnis ist ein Authentifizierungsbeweis; Empfangssysteme treffen ihre eigenen Handhabungsentscheidungen. Halten Sie die vorherige Richtlinie für eine genehmigte Wiederherstellungsänderung bereit und beachten Sie, wann zwischengespeicherte Versionen möglicherweise noch verwendet werden.
Behalten Sie das vollständige DKIM Rotations-Setup bei
Proton verwendet drei CNAME Datensätze für die automatische DKIM Rotation. Es ist Leitfaden zur Domänenauthentifizierung weist Kunden an, alle drei beizubehalten, den Assistenten genau abzugleichen und auf die Erkennung zu warten, bevor mit der ausgehenden Signierung benutzerdefinierter Domänen begonnen wird. Ein scheinbar untätiger Wähler kann für eine spätere Rotation erforderlich sein. Entfernen Sie es nicht, da eine einzelne Testnachricht nur einen Signaturselektor verwendet.
Wenn die Überprüfung fehlschlägt, vergleichen Sie jeden Besitzer und Zielcharakter für Charakter. Protons Anleitung CNAME Fehlerbehebung identifiziert falsche Werte, die Handhabung eines nachgestellten Zeitraums durch den Registrar und einen alten manuell verwalteten TXT Datensatz als mögliche Probleme. Untersuchen Sie den tatsächlichen Konflikt, bevor Sie etwas löschen. Ein TXT Eintrag an einem anderen Selektor kann zu einem anderen legitimen Absender gehören und ist nicht automatisch veraltet.
Wenn das Konto von der alten manuellen Schlüsselanordnung von Proton abweicht, planen Sie den dokumentierten Übergang sorgfältig. Proton warnt vor einer Signaturunterbrechung, wenn der alte TXT Eintrag entfernt wird. Bereiten Sie im Vorfeld alle Ersatzwerte und einen kontrollierten Test vor, koordinieren Sie das Änderungsfenster und veröffentlichen Sie zeitnah den erforderlichen Ersatz. Dies ist keine Empfehlung, jeden DKIM TXT Eintrag in der Zone zu löschen.
Testen Sie Mitarbeiterpost und Bewerbungseinreichung getrennt
Senden Sie neue Nachrichten von repräsentativen benutzerdefinierten Domänenadressen über die von der Organisation verwendeten Routen. Erfassen Sie den Client oder die Anwendung, die Absenderadresse, die Uhrzeit und die Nachrichten-ID. Erfassen Sie an einem kontrollierten externen Empfänger die vertrauenswürdigen SPF , DKIM und DMARC -Ergebnisse sowie das SMTP Rückweg und die DKIM Werte d= und s=. Die Domäne und der Selektor der Signatur identifizieren die von beschriebene Suche nach dem öffentlichen Schlüssel RFC 6376.
Für ein Gerät oder eine Geschäftsanwendung dokumentiert Proton eine separate SMTP-Übermittlungsfunktion für kostenpflichtige Pläne mit benutzerdefinierten Domänenadressen. Es ist SMTP Anleitung verwendet adressenspezifische SMTP Tokens, nicht das normale Postfachkennwort, und erklärt, dass über SMTP übermittelte E-Mails nicht Ende-zu-Ende-verschlüsselt sind. Bestätigen Sie die Funktionsberechtigung und die autorisierte Adresse, bevor Sie eine Anwendung konfigurieren. Die Erstellung von Anmeldeinformationen und der dauerhafte Zugriff erfordern eine eigene Sicherheitsgenehmigung. In der Beweisarbeitsmappe sollte kein Token erscheinen.
Zeichnen Sie für jede Bewerbung ein separates Ergebnis auf, auch wenn ein Mitarbeiter-Webmail-Test bestanden wird. Eine erfolgreiche Anmeldung an einem Übermittlungsserver beweist weder den endgültigen sichtbaren Absender noch das Authentifizierungsergebnis des Empfängers. Wenn ein Drucker oder CRM vor der Übermittlung ausfällt, beheben Sie das Verbindungsproblem, bevor Sie DKIM diagnostizieren. Wenn die Übermittlung erfolgreich ist, folgen Sie der resultierenden Nachricht an den gesteuerten Empfänger.
Legen Sie DMARC Richtlinie anhand beobachteter Routen fest
Überprüfen Sie die bestehende DMARC Richtlinie und das Berichtsziel der Domain mit dem Eigentümer. Behalten Sie eine etablierte Richtlinie bei, es sei denn, es ist eine gesondert genehmigte Änderung erforderlich. Ein ausgerichtetes, bestandenes SPF oder DKIM -Ergebnis kann DMARC erfüllen, wie in definiert RFC 9989. Überprüfen Sie die tatsächliche Ausrichtung Modus, anstatt davon auszugehen, dass jede zugehörige Subdomain qualifiziert ist.
Berücksichtigen Sie vor der Ausweitung der Durchsetzung die Direktbewerbungen, Weiterleitungsvereinbarungen und die Verwendung von Mailinglisten, auf die das Unternehmen angewiesen ist. Ein Überwachungszeitraum sollte einen Eigentümer und ein Überprüfungsergebnis haben und nicht zu einem unbegrenzten Ersatz für eine Untersuchung werden. Aggregierte Berichte können die Erkennung leiten, sie ersetzen jedoch nicht routenspezifische Header und beweisen nicht die Posteingangsplatzierung für jeden Empfänger.
Arbeitsblatt zur Annahme Proton Mail
Erstellen Sie eine Zeile für jede Mitarbeiter-Mail- oder Bewerbungsroute:
- Revision der Domäne, des Mieterbesitzers und des Adressinventars: ____.
- Domain-Verifizierung, Adresserstellung und Nachweis MX Umstellung: ____.
- Bestehende Absender, die in der SPF Überprüfung berücksichtigt wurden: ____.
- Ausgestellter DKIM CNAME Satz und alle drei veröffentlichten Eigentümerprüfungen: ____.
- Konflikt zwischen alten manuellen Schlüsseln und genehmigtem Übergangsplan, falls vorhanden: ____.
- Route, Client oder Gerät und autorisierte Absenderadresse: ____.
- Referenz zur Genehmigung SMTP Zugriffs der Anwendung, ohne Geheimnisse: ____.
- Nachrichten-ID, UTC-Zeit, Return-Path und DKIM d=/s=: ____.
- Vertrauenswürdige Authentifizierungsergebnisse, Ausrichtung und Geschäftsbelegprüfungen: ____.
- Eigentümer der Wiederherstellung, ungelöste Ausnahmen und Überprüfungsentscheidung: ____.
Fiktive Diagnose nach einer DNS Bereinigung
Nur fiktives Beispiel: Juniper Accounts entfernt zwei Proton-CNAMEs, weil seine neueste Nachricht den dritten Selektor verwendet. Später wird die Authentifizierung inkonsistent. Der E-Mail-Administrator vergleicht die Zone mit dem gesamten ausgegebenen Satz, anstatt eine neue SPF Richtlinie für die Stammdomäne hinzuzufügen. Die fehlenden CNAMEs werden durch den genehmigten Änderungsprozess wiederhergestellt, der Status von Proton wird erneut überprüft und neue Nachrichten stellen fest, ob die Signatur wiederhergestellt wurde.
Dieses Beispiel veranschaulicht, warum Rotationsabhängigkeiten in die Bestandsaufnahme gehören. Es handelt sich nicht um einen beobachteten Proton-Vorfall, und es wurde auf keine Juniper-Mailbox oder DNS Zone zugegriffen.
Bewahren Sie Beweise für die nächste Änderung auf
Bewahren Sie ausgegebene Datensätze, öffentliche DNS Prüfungen und redigierte empfangene Header zusammen auf. Erneute Überprüfung nach DNS-Host-Änderungen, Adressmigrationen, Schlüsselübergangsarbeiten oder neuen Anwendungsrouten. Die Live-Kontenprüfung, die Veröffentlichung von Aufzeichnungen, das kontrollierte Senden, die visuelle Überprüfung, die menschliche Genehmigung und Veröffentlichung durch KMU sind in diesem Artikel noch nicht abgeschlossen. Diese Gates bleiben auch nach Abschluss des Dokumentationsverfahrens in der Schwebe.
Trennen Sie den Sendezugriff vom Posteingangszugriff
Proton beschreibt SMTP Übermittlung als rein sendend; Der Empfang über einen Desktop-Client eines Drittanbieters ist ein separater Bridge-Workflow. Ein erfolgreicher Antragseinreichungstest stellt keine Synchronisierung des Posteingangs her. Behalten Sie für jede Anwendung ein eigenes genehmigtes Token bei, damit ein widerrufenes Gerät andere Clients nicht unnötig unterbricht. Dies ist eine Empfehlung für das Zugangsdesign. Es wurden keine Anmeldeinformationen erstellt oder konfiguriert.
Trennen Sie die Nachrichtenannahme vom Richtlinien-Rollout
Ein bestandenes, abgestimmtes SPF Ergebnis kann einer Nachrichtenbewertung genügen, rechtfertigt jedoch nicht allein das Verschieben einer gesamten Domäne in die Ablehnung. RFC 9989 Abschnitt 7.4 erfordert gültiges DKIM für die Veröffentlichung von Domains p=reject und warnt vor der Interoperabilität indirekter E-Mails. Führen Sie eine Bestandsaufnahme aller legitimen Absender und indirekten Routen durch, bevor der Richtlinieneigentümer die Durchsetzung genehmigt. Für diesen Artikel wurde keine DNS Änderung, kein Mandantenbetrieb oder kein Test der empfangenen Nachrichten durchgeführt.