Erottaminen DKIM avaimet sähköpostivirralla voivat helpottaa kiertoa, tapausten hallintaa ja vianetsintää. Se ei luo automaattisesti erillistä verkkotunnuksen mainetta tai rajoita avainta viestiluokkaan. Suunnittele jokaisen allekirjoittajan saamien oikeuksien ja sitä käyttävien todellisten palvelujen ympärille.
Määritä streamit toiminnallisesti
Luettele tapahtumaviestien, kampanjoiden ja työntekijöiden postin takana olevat sovellukset ja palveluntarjoajat. Sisällytä ajoitetut työt ja vähäisen volyymin kriittiset viestit. Jokaiselle reitille tallenna From-toimialue, odotettu allekirjoitustoimialue, valitsin, yksityisen avaimen säilyttäjä, DNS omistaja ja yrityksen palautusvaatimukset.
Käytä erillisiä valitsimia, jos alustat tukevat niitä. Under RFC 6376 §3.1, valitsin tunnistaa vahvistustiedot allekirjoitustoimialueen alla, joten eri valitsimet voivat estää itsenäisesti hallittuja avaimia törmäämästä yhteen hakunimeen. Älä oleta, että valitsimen uudelleennimeäminen luo uuden yksityisen avaimen tai että alusta sallii jokaisen virran itsenäisen pyörittämisen.
Päätä, tarvitsevatko verkkotunnukset myös erottamisen
Valitsijat järjestävät avainhaun, eivät viestin tarkoitusta. Valitsijatunniste ei rajoita yksityistä avainta, joka on valtuutettu kohdassa d=brand.example , laskuihin tai kampanjoihin. Jos tarvitaan tarkempia valtuusrajoja, harkitse tuettuja allekirjoituksen aliverkkotunnuksia sekä käyttöoikeuksien valvontaa ja nimenomaisia From-domain-valintoja.
DMARC linjaus tulee pysyä osana tätä mallia. Allekirjoitus aliverkkotunnuksesta voi kohdistaa päätekijän verkkotunnuksen kevennettyjen sääntöjen mukaisesti, kun organisaation ja toimialueen välinen suhde täyttää ehdot. Tiukka kohdistus vaatii tarkan verkkotunnuksen RFC 9989 §3.2.10.2. Organisaation verkkotunnuksen löytämisen on seurattava RFC 9989 §4.10.2 mieluummin kuin naiivi kahden viimeisen etiketin vertailu.
Työskentele eristysesimerkin avulla
Havainnollistava ulkoasu: tapahtumapostissa käytetään valitsinta tx1, kampanjoissa mk1 ja henkilöstön sähköpostissa emp1, kaikilla d=brand.example , mutta erilliset yksityiset avaimet. mk1:n kumoamisen ei tarvitse poistaa tx1:n tai emp1:n julkisia avaimia. Kuitenkin hyökkääjä, jolla on yksityinen mk1-avain, voi silti allekirjoittaa viestejä nimellä brand.example ; nimi mk1 ei pakota vain markkinointilupaa.
Tämä tarkoittaa, että erilliset valitsimet vähentävät toiminnallista kytkentää jättäen samalla jaetun toimialueen valtuudet. Vahvemman rajan saavuttamiseksi tarvitaan erilliset tunnistetiedot, hyväksytyt lähettäjän hallintalaitteet ja mahdollisesti allekirjoitusalueet. Nämä ovat ehdotettuja valvontatoimia, eivät väite, että jokainen palveluntarjoaja paljastaa ne.
Suunnittele kierto ja vikojen korjaaminen virralla
Anna jokaiselle virralle itsenäinen muutosikkuna ja testisarja. Tapahtumatestien tulisi sisältää aikaherkkiä tiliviestejä; kampanjatesteihin tulisi sisältyä mallien ja tilauksen peruuttamisen käsittely; työntekijätestien tulee käyttää asiaankuuluvia lähteviä yhdyskäytäviä. Varmista, että sisältöä muuttavat komponentit toimivat ennen lopullista suunniteltua allekirjoittajaa.
Säilytä tavallisia kiertoja varten tarvittavaa vanhaa tarkastusmateriaalia, kunnes hyväksytyt jono- ja vanhentumisehdot täyttyvät. Jos avaimet ovat vaarantuneet, anna suojausvaatimusten määrittää poistuminen sen sijaan, että säilytetään sokeasti päällekkäisyys. Jaettu yksityinen avain kumoaa suuren osan erillisten valitsinnimien eduista.
Mittaa rakentamasi raja
Pidä reitistä avaimeen -rekisteriä ja päivättyjä vastaanotettujen viestien todisteita. Testaa, vaikuttaako yhden virran pyörittäminen toiseen, mutta älä väitä, että näin tapahtui, ellet todella suorita testiä. Tarkista palveluntarjoajan offboarding sekä valitsintietueiden että tilin käyttöoikeuksien osalta.
Menestys on selitettävissä oleva joukko itsenäisiä säilyttäjiä, muutoksia ja toipumispolkuja. Maine ja postilaatikon sijoittelu vaativat omat todisteensa; DKIM valitsinarkkitehtuuri ei myöskään voi luvata.
Tarkista betonieristysmalli
Synteettinen rekisteri määrittää tx1/avain-T sovellusryhmälle, mk1/avain-M kampanjan tarjoajalle ja emp1/avain-E sähköpostitoiminnoille. Kaikki ovat merkkinä brand.example . Tässä kuvaavassa inventaariomallissa mk1:n poistaminen jättää tx1 ja emp1 säilytettyyn joukkoon. Tämä tarkistus ei suorittanut todellista kiertoa tai tarkastanut yksityisiä avaimia. Se ei todista, että yksityiset avaimet eroavat todellisessa vuokralaisessa tai että nämä reitit lähettävät edelleen. Jos kaikki valitsijat sen sijaan käyttäisivät samaa yksityistä avainta, tämä varastotason erottelu ei tarjoa itsenäistä avainmateriaalin eristämistä.
Oikea-aikainen vastaanottaminen ei ole todiste DKIM -avaimen eristämisestä. Vahvista avainten säilytys, tuetut kiertosäätimet ja vastaanotettujen viestien tulokset jokaiselle todelliselle streamille ennen kuin käsittelet suunnittelua testatuksi.
Seuraavaa päätöstä varten tarvitaan todisteita
Ennen kuin hyväksyt esimerkin, kysy, onko tx1:llä, mk1:llä ja emp1:llä erillistä julkista varmennusmateriaalia, erikseen ohjattua allekirjoitusoikeutta ja riippumatonta rotaatiotukea. Julkiset sormenjäljet voivat verrata materiaalia, mutta ne eivät voi todistaa, että palveluntarjoaja on eristänyt yksityishuollon tai valtakirjat. Jos hallinta on jaettu, dokumentoi jäljellä oleva yhteinen vikapolku sen sijaan, että kutsut virtoja täysin eristettyinä.