Un aviso de licitación puede ser auténtico pero contener un cambio no autorizado de datos bancarios después de una cuenta comprometida. La autenticación ayuda a evaluar la identidad del dominio. La autoridad de adquisiciones proviene del proceso aprobado y de las personas responsables. Diseñe los dos controles para reforzarse entre sí sin permitir que uno sustituya al otro.
Map the notice to the procurement record
Para la publicación de licitaciones, avisos de proveedores y adquisiciones delegadas, registre el sistema de registro, el identificador de aviso, el remitente aprobado y la función de contratación responsable. La notificación debería ayudar al proveedor a encontrar el registro de adquisiciones autorizado a través de un canal conocido. Evite tratar un enlace en un mensaje inesperado como una verificación independiente del mismo mensaje.
Registre el inquilino de la aplicación, desde el dominio, el dominio del sobre, DKIM dominio y selector para cada ruta. Un portal de adquisiciones subcontratado puede tener una infraestructura de envío separada del correo del personal de la autoridad. Un pie de página con marca o una dirección de respuesta no establece una ruta de autenticación alineada. Mantenga el manejo de respuestas en el mapa de ruta porque un aviso genuino puede dirigir las respuestas a un buzón operativo diferente.
Mantener los cambios consiguientes detrás de su propia aprobación.
Clasifique los avisos según lo que le piden al destinatario que haga. Un anuncio de licitación, una modificación del plazo, una comunicación de adjudicación y una solicitud de detalles de pago tienen diferentes consecuencias operativas. Esta guía recomienda una verificación separada de adquisiciones y finanzas para cambios sensibles de proveedores o bancos utilizando registros de contacto establecidos, no un número de teléfono proporcionado en el correo electrónico en disputa.
DMARC no inspecciona los términos de una licitación ni determina quién aprobó una adjudicación. Nor does a passing signature establish that a bank account belongs to the intended supplier. Conservar la autoridad de cambio, el registro aprobado y el resultado de la verificación independiente en el sistema de adquisiciones. Estas son recomendaciones de flujo de trabajo, no una declaración de la ley de adquisiciones de ninguna jurisdicción.
Pruebe el remitente delegado antes de una fecha límite
Ejecute muestras aprobadas para aviso inicial, modificación y cancelación, con detalles de licitación ficticios. Confirmar la intención De la identidad, resultado de la firma, aplicable alineación, destino de respuesta y acceso exitoso al registro oficial. Una prueba de firma no puede establecer que la notificación llegó antes del plazo legal. Preserve the relevant delivery and publication evidence separately.
If a contractor changes platform during an active tender, retain the old route until the approved cutover and queue handling are understood. Set an owner for failed notices and a documented alternate notification process. Do not silently resubmit a notice through a new identity because an integration failed. Such a change can confuse suppliers and must be handled under the procurement team's approved communication process.
Reevaluar el límite de cara al proveedor
Review reports by procurement service, not merely across the department's total mail volume. An apparently healthy aggregate can hide a low-volume amendment sender. Escalate unexpected signing domains, new Reply-To destinations and unowned vendor accounts. Before retiring a domain or selector, establish which tender records and recurring notices still depend on it. Authentication evidence belongs alongside, rather than in place of, procurement audit records.
Trabajar a través de tres registros de ruta escritos
Estos dominios de ejemplo reservados, selectores, roles y premisas DKIM de paso son ficticios. En estos casos no se proporciona ni ejecuta ningún mensaje firmado, clave, verificación criptográfica, búsqueda DNS , transacción SMTP o prueba de servicio en vivo. No se necesita ningún código de prueba ni muestra externa para inspeccionar el razonamiento siguiente.
- publicación de licitación: visible Desde el dominio tenders.civic.example ; DKIM d=tenders.civic.example; demostración del selector1; asumir el pase DKIM únicamente para este caso escrito. SPF CORREO DE identity and result unknown; otras firmas desconocidas; Se desconoce el descubrimiento y la entrega de la política real. Propietario propuesto: Líder de adquisiciones. Siguiente acción: Obtenga una muestra autorizada y un resultado de receptor confiable para este inquilino exacto.
- aviso de proveedor: visible Desde el dominio suppliers.civic.example ; DKIM d=suppliers.civic.example; demostración del selector2; asumir el pase DKIM únicamente para este caso escrito. SPF MAIL FROM identidad y resultado desconocidos; otras firmas desconocidas; Se desconoce el descubrimiento y la entrega de la política real. Propietario propuesto: Propietario de las comunicaciones del proveedor. Siguiente acción: Confirme esta ruta separada y su evento comercial en lugar de heredar el resultado de la primera ruta.
- delegated procurement: visible From domain contracts.civic.example ; DKIM d=provider.example.net; demostración del selector3; asumir el pase DKIM únicamente para este caso escrito. SPF MAIL FROM identidad y resultado desconocidos; otras firmas desconocidas; Se desconoce el descubrimiento y la entrega de la política real. Proposed owner: Contracting authority. Siguiente acción: Pregunte al proveedor verificado cuál es la ruta de firma alineada admitida por este inquilino; no ampliar la autorización a toda su red.
Para las dos primeras firmas estipuladas, d= es exactamente igual al dominio De, por lo que el identificador satisface una alineación estricta y relajada. Dado el resultado DKIM exitoso estipulado, existe una ruta de autenticación alineada para esos mensajes hipotéticos. El tercer firmante no está deliberadamente relacionado con el dominio del autor y no puede proporcionar esa ruta alineada. No llame al tercer mensaje una falla DMARC : SPF alineado u otro paso alineado firma DKIM todavía podría satisfacer el mecanismo, y esas entradas se desconocen. No infieras la implementación real o la ubicación de la bandeja de entrada de ninguna fila.
Una firma criptográfica autentica la responsabilidad de un dominio firmante, no la veracidad o autorización de cada instrucción. Los cambios en los bytes canonicalizados cubiertos pueden invalidar una firma; No todas las ediciones visibles cambian necesariamente la entrada firmada. La autenticación y la aceptación a nivel de aplicación permanecen separadas.
Utilice una tarjeta de aceptación específica de aviso
Para la licitación ficticia modificación T-01 versión 2, exigir la versión del registro aprobado, rol de contratante autorizado, identidad del remitente, destino de la respuesta, hora de publicación y evidencia de notificación al destinatario. Si se aprueba la autenticación pero el registro oficial sigue siendo la versión 1, detenga y concilie la enmienda con la contratación; no lo etiquete como aprobado. Si el registro es correcto pero la notificación falla, invoque el proceso de notificación alternativo ya aprobado y conserve la evidencia de tiempo. Un beneficiario cambiado activa el proceso de verificación financiera por separado independientemente de cualquiera de los resultados. Estas son decisiones propuestas, no requisitos de la ley de adquisiciones ni pruebas completadas.
Aplicar las normas sin pretender cumplimiento
RFC 9989 Secciones 4.4 y 5.3.5 apoyar la distinción de alineación y mecanismo. Su Sección 7.4 advierte sobre la interoperabilidad del correo indirecto: dominios que utilizan p=reject debe utilizar DKIM válido, no solo SPF , y el uso de listas de correo de propósito general necesita especial cuidado. Un inventario de rutas no es en sí mismo un permiso para imponer el rechazo. RFC 6376 Secciones 3.4–3.7 y 6.1 describir las entradas firmadas y la verificación. RFC 9990 Sección 3.1 proporciona un contexto de informes, no una prueba de llegada por destinatario. RFC 5321 Sección 4.2.5 distingue la responsabilidad de aceptación del servidor de los resultados de entrega posteriores. Las opciones de flujo de trabajo del sector aquí son recomendaciones editoriales; el alcance legal, la idoneidad de los factores y la autorización local necesitan su propia revisión responsable.