Varmista, että TransIP on arvovaltainen
Tämä on DNS -julkaisuopas, ei TransIP-postipalvelun käyttöönotto-opas. Verkkotunnus voidaan rekisteröidä TransIP:ssä sen ollessa viranomainen nimipalvelimet ovat muualla. Tarkista verkkotunnuksen julkinen delegointi ja tunnista auktoriteettivyöhyke ennen muokkaamista. Älä vaihda nimipalvelimia vain tehdäksesi DNS lomakkeen käytettävissä. Hanki lähettäjän tarkat tietueiden nimet, tyypit ja arvot sekä olemassa oleva vyöhykkeen vienti ja hyväksytty muutosalue.
Kirjoita nimet ja arvot oikein
Valitse toimialue ohjauspaneelista ja avaa DNS asetukset. Mukautettu muokkaus edellyttää automaattisten TransIP-asetusten olevan pois päältä. Näiden asetusten ottaminen uudelleen käyttöön voi korvata mukautettuja tietueita ja nimipalvelimia. Nimi-kentässä käytetään @-merkkiä vyöhykkeen huippuna ja suhteellisia nimiä aliverkkotunnuksille. Ulkoinen CNAME kohde tarvitsee koko nimensä ja loppupisteen. Nämä liitäntäsäännöt on dokumentoitu alla olevassa TransIP-ohjauspaneelin lähteessä.
TXT DKIM -näppäintä, DKIM lähde kehottaa käyttäjiä jättämään pois ympäröivät lainausmerkit ja tarpeettomat kenoviivat. Käytä lähettäjän julkista avainta, älä koskaan luotua näytettä. A valitsin lähettävässä aliverkkotunnuksessa tarvitsee kyseisen aliverkkotunnuksen suhteellisen omistajan nimessä. Käytä CNAME a vain, kun lähettäjä todella antoi CNAME valtuutuksen. Avaimen julkaiseminen ei saa lähetyspalvelua aloittamaan allekirjoitusta.
Alkuperäinen tietueen kartoituslaskentataulukko
Seuraava on kuvitteellinen example.org -vyöhykkeen kartoitus, ei tuotantokokoonpano. Täydellinen DKIM omistajien review._domainkey.news.example.org -kartat tarkistettavaksi. _domainkey.news Nimi-kentässä. A DMARC omistaja _dmarc.news.example.org yhdistää osoitteeseen _dmarc.news. The SPF omistaja news.example.org kartoittaa uutisiin. Merkitse odotettu koko nimi muutoslippuun, jotta arvioija voi havaita vahingossa olevan example.org.example.org -liitteen.
Pidä SPF ja DMARC TXT -käytäntöinä oikeilla omistajanimillään. Älä sijoita Arvo-kenttään täyttä vyöhyketiedostoriviä, mukaan lukien luokka ja tyyppi. Useita TXT tietueita voi esiintyä rinnakkain asiaankuulumattomiin tarkoituksiin, mutta kaksi SPF käytäntöä yhtä arvioitua nimeä kohden eivät ole kelvollisia. Pitkät DKIM -arvot vaativat huolellista käsittelyä: haetut TransIP-sivut eivät luo yleistä pitkän merkkijonon jakomenettelyä. Jos paneeli hylkää palveluntarjoajan täyden arvon, lopeta ja hanki nykyinen TransIP-opastus sen katkaisemisen sijaan.
Tarkista julkaisu ennen postin testaamista
Pyydä jokaiselta arvovaltaiselta palvelimelta täydet SPF , DMARC ja valitsimien nimet. Vertaa täydellisiä arvoja, mukaan lukien ketjutetut TXT -merkkijonot, joissa palautetaan. Jos kyseessä on delegoitu avaime, tarkista CNAME kohde ja lopullinen TXT vastaus. Toista rekursiivisen resolverin kautta ja säilytä TTL-havainnot. Oikea ohjauspaneelin näyttö, jossa ei ole julkista vastausta, voi tarkoittaa väärää valtuutusta tai tallentamattomia tietoja, ei vain hidasta etenemistä.
Vasta sitten laukaise kontrolloitu viesti lähetyspalvelun kautta. DNS-puolen palautuksen pitäisi palauttaa muuttuneet tietueet, ei ottaa automaattisia asetuksia uudelleen käyttöön tai palauttaa koko vanha vyöhyke vertaamatta asiaankuulumattomia muutoksia.
Todista henkilöllisyys vastaanottimessa
Käytä ohjattua ulkoista postilaatikkoa ja lähetä tuotannon työnkulun kautta vaarattomalla sisällöllä ja ilman asiakastietoja. Tallenna raakaviesti, aikaleima ja vastaanottavan järjestelmän tiedot Authentication-Results. Ohita epäluotettavan lähettäjän lisäämät todennusvahvistukset. Tallenna näkyvä From-verkkotunnus, Return-Path tai todennettu kirjekuoren identiteetti ja jokainen DKIM d= ja s= pari. Näyttönimi tai vastausosoite ei ole DMARC identiteetti.
SPF passi valtuuttaa yhdistävän palvelimen arvioituun kirjekuoren identiteettiin. DKIM passi vahvistaa allekirjoituksen sen allekirjoitustoimialueelle. DMARC tarvitsee välitysmenetelmän, jonka verkkotunnus on linjassa näkyvän From: rangen kanssa linjaus vaatii saman verkkotunnuksen; rento kohdistus mahdollistaa sovellettavan organisaation ja toimialueen suhteen. Palveluntarjoajan omistama allekirjoitus voi kulkea läpi ilman näkyvän lähettäjän todennusta. Yksi ohitus linjassa DKIM -allekirjoitus voi täyttää DMARC vaikka toinen allekirjoitus epäonnistuisi. Nämä protokollasäännöt tulevat RFC 7208 sta, RFC 6376 sta ja RFC 9989, lueteltu alla.
Tarkista virallinen DNS ennen välimuistien diagnosointia. Pyydä arvovaltaiselta palvelimelta tarkka nimi ja tyyppi ja vertaa sitten rekursiivista ratkaisijaa sen välimuistissa olevan käyttöiän jälkeen. Jos kyseessä on DKIM , seuraa mitä tahansa CNAME tä sen julkisen avaimen TXT vastaukseen. Älä koskaan julkaise yksityistä avainta. Säilytä yksi SPF käytäntö kussakin arvioidussa nimessä ja tarkista kymmenen DNS-hakua aiheuttavan termin raja sisäkkäisissä sisällykkeissä. Älä korvaa jaettua SPF -käytäntöä palveluntarjoajan esimerkillä.
Toipuminen ja hyväksyminen
Keskeytä vaikuttanut työnkulku, jos testit osoittavat uuden regression. Vertaa muutettua tietuetta tallennettuun versioon ja kumoa vain tämä muutos tarkistettuasi muut lähettäjät. Tarkista DNS uudelleen ja lähetä se uudelleen palautuksen jälkeen; arvon palauttaminen ei huuhtele jokaista ratkaisijaa välittömästi. Säilytä vanhat DKIM -vahvistustietueet saatavilla, kun aiemmin allekirjoitetut viestit saattavat edelleen olla kuljetuksen aikana, ellei tietoturvahäiriö vaadi peruuttamista.
Hyväksy muutos vain, kun DNS , sovelluksen tila ja todellinen vastaanotettu viesti sopivat. Tallenna kulun omistaja, todisteiden aikaleima ja seuraava tarkistuskäynnistin. Saapuneet-kansion sijoittaminen ei yksinään ole todiste todennuksesta, eikä onnistunut todennus takaa postilaatikon sijoittamista. Älä kiristä jaetun verkkotunnuksen DMARC käytäntöä yhden palveluntarjoajan testin perusteella. Inventoi ensin muut lailliset lähteet.
Diagnosoi oikealta näyttävä merkintä väärällä alueella
Kirjallinen tapaus TI-01 olettaa, että verkkotunnus on rekisteröity TransIP:ssä, mutta sen julkinen delegointi osoittaa toiselle DNS operaattorille. Tallennettu TransIP-paneelin merkintä tarkistettavaksi. _domainkey.news ei luo julkaisua osoitteessa review._domainkey.news.example.org . Verkkotunnuksen omistajan on vahvistettava pätevä operaattori ja järjestettävä hyväksytty tietue sinne; nimipalvelimien muuttaminen tai automaattisten asetusten ottaminen käyttöön ei ole korjaava pikakuvake. Julkiset vastaukset, lähetetyt d=/s= ja vastaanottimen tulokset jäävät tuntemattomiksi, kunnes ne kerätään erikseen. Tämä skenaario on määrätty, ei varsinainen DNS haku tai paneelitoiminto.
Säilytä täytäntöönpanoraja
RFC 9989 osio 7.4 vaatii kelvollisen DKIM , ei yksin SPF , verkkotunnuksille, joissa julkaistaan p=reject, ja varoittaa epäsuoran postin ja postituslistojen yhteentoimivuudesta. Yksittäinen onnistunut suoraviestitesti ei ole todiste siitä, että jokainen laillinen reitti on valmis vahvempaan politiikkaan. Säilytä olemassa oleva hyväksytty suojaus diagnosoidessasi todellista aukkoa; Jokainen politiikan muutos vaatii oman päätöksensä.