Alcance y preparación
Esta guía cubre la configuración del dominio de envío de Taguchi. Es un trámite documental, no un informe de prueba de inquilino vivo. Obtenga un administrador, acceso DNS y un propietario de campaña. Guarde los registros existentes y decida qué dominio De está autorizado a utilizar la campaña. reservar por separado camino de retorno nombre que no lleva ya otro servicio.
Configurar el dominio de envío
En Configuración > Dominio, agregue el componente Desde dominio y ruta de retorno, elija un selectory luego guardar. Publicar el CNAME y entradas TXT generadas en la columna Registros DNS , utilizando su propia configuración en lugar de los ejemplos de la documentación. Taguchi distingue Pendiente, Autorizado y Configurado. Después de la autorización DNS , el soporte debe completar la configuración; luego seleccione el dominio en el tema de la plantilla. El proveedor describe un período de autorización de 24 horas. Verifique la precisión del registro antes de escalar a un estado Pendiente persistente. Consulte la fuente de configuración de Taguchi a continuación.
Diseño original de aceptación de campaña.
Prepara dos versiones inofensivas de una misma campaña: una antes de cambiar de temática y otra después. Registre los resultados del tema, del dominio, del dominio del sobre, de cada dominio de firma y del receptor confiable para ambos. Esto aísla un cambio de configuración que existe en DNS pero que la campaña aún no utiliza. No interprete una etiqueta Autorizada como evidencia de que la campaña ha cambiado.
Para un dominio ficticio From notices.example.org , un sobre debajo de bounce.notices.example.org ilustra por qué se relajó. SPF alineación y la alineación estricta SPF puede diferir. Se trata de identidades de enseñanza, no de valores emitidos por Taguchi o de resultados observados. Pruebe el modo de alineación seleccionado explícitamente y prefiera la evidencia del mensaje real a las suposiciones sobre una etiqueta del tablero. El siguiente diseño de aceptación no tiene filas de resultados observados; es una guía en lugar de una hoja de trabajo de medición adjunta.
Demostrar la identidad en el receptor.
Utilice un buzón externo controlado y envíe a través del flujo de trabajo de producción, con contenido inofensivo y sin datos de clientes. Guarde el mensaje sin formato, la marca de tiempo y el sistema receptor. Authentication-Results. Ignore las afirmaciones de autenticación insertadas por un remitente que no es de confianza. Registre la identidad visible del dominio De, Return-Path o el sobre autenticado, y cada DKIM d= and s= pair. A display name or Reply-To address is not the DMARC identidad.
El pase SPF autoriza al servidor de conexión para la identidad del sobre evaluado. El pase DKIM valida una firma para su dominio de firma. DMARC necesita un método de paso cuyo dominio se alinee con lo visible. Desde: la alineación estricta requiere el mismo dominio; la alineación relajada permite la relación aplicable entre el dominio y la organización. Una firma propiedad del proveedor puede pasar sin autenticar su De visible. Uno pasando alineado firma DKIM puede satisfacer DMARC incluso cuando falla otra firma. Estas reglas de protocolo provienen de RFC 7208 , RFC 6376 y RFC 9989, que se enumeran a continuación.
Verifique DNS autorizado antes de diagnosticar los cachés. Solicite a un servidor autorizado el nombre y tipo exactos, luego compare un solucionador recursivo después de su vida útil en caché. Para DKIM , siga cualquier CNAME hasta su respuesta TXT de clave pública. Nunca publique una clave privada. Mantenga una política SPF en cada nombre evaluado y verifique el límite de diez términos que causan búsquedas de DNS en inclusiones anidadas. No reemplace una política SPF compartida con un ejemplo de proveedor.
Recuperación y aceptación
Pause el flujo de trabajo afectado si las pruebas muestran una nueva regresión. Compare el registro modificado con la versión guardada y deshaga solo ese cambio después de verificar otros remitentes. Vuelva a verificar DNS y reenvíe después de la recuperación; revertir un valor no elimina todos los solucionadores inmediatamente. Mantenga disponibles los registros de verificación DKIM antiguos mientras los mensajes firmados previamente aún puedan estar en tránsito, a menos que un incidente de seguridad requiera su revocación.
Acepte el cambio solo cuando coincidan DNS , el estado de la aplicación y un mensaje recibido real. Registre el propietario del flujo, la marca de tiempo de la evidencia y el activador de la próxima revisión. La ubicación de la bandeja de entrada por sí sola no es prueba de autenticación y la autenticación exitosa no garantiza la ubicación de la bandeja de entrada. No ajuste la política DMARC de un dominio compartido basándose en la prueba de un proveedor. Primero haga un inventario de las otras fuentes legítimas.
Utilice un libro de contabilidad estatal antes del lanzamiento de la campaña.
El caso escrito TG-01 supone que el nuevo dominio es notices.example.org , el componente de ruta de retorno elegido es rebote y el selector es el valor real emitido por la cuenta, que no se proporciona en este ejemplo. La autorización DNS se estipula completa, pero el estado es Autorizado en lugar de Configurado, y el tema de la campaña aún selecciona el dominio anterior. El propietario del soporte debe completar la activación del proveedor, luego el propietario de la campaña selecciona el dominio aprobado en el tema y realiza una prueba controlada. Hasta entonces, se desconocen los resultados reales de De, sobre y DKIM para la campaña modificada. No lo marques como listo solo desde DNS . No se produjo ninguna solicitud de soporte, edición de plantilla, consulta DNS o envío de campaña.
Preservar el límite de aplicación
RFC 9989 Sección 7.4 requiere DKIM válido, no solo SPF , para la publicación de dominios p=rejecty advierte sobre la interoperabilidad del correo indirecto y de las listas de correo. Una sola prueba exitosa de mensajes directos no es prueba de que todas las rutas legítimas estén listas para una política más fuerte. Mantener la protección aprobada existente mientras se diagnostica la brecha real; cualquier cambio de política necesita su propia decisión.