Laajuus ja palveluntarjoajakohtainen kokoonpano
Yksinkertaista asiakirjojen lähettäjän ja verkkotunnuksen todennus käyttämällä SPF, DKIM ja DMARC. Sen uudempi joukkolähetysartikkeli selventää siirtymistä vanhemmasta k5:stä DKIM valitsin numeroon dkim2048. Käytä tätä nykyistä käyttäytymistä arvioidessasi toimialuetta sen sijaan, että käsittelet historiallista avainta todisteena aiotusta allekirjoitusreitistä.
Inventoi Lähettäjäosoitteessa käytetty toimialue ja sen olemassa olevat todennustietueet. Lähettäjäverkkotunnuksen opas julkaisee SPF perustason v=spf1 include:carmamail.com ~all . Yhdistä vaadittu sisällyttäminen muihin valtuutettuihin palveluihin yhdeksi käytännöksi. Älä korvaa vakiintunutta käytäntöä tai ota käyttöön perusviivan loppua tarkistamatta täydellistä lähetysvarastoa ja hakubudjettia.
DKIM :n osalta uudempi opas sanoo Symplify signs with a 2048-bittinen avain käyttämällä valitsinta dkim2048. Julkaise nykyinen toimittajan julkinen avain TXT muodossa osoitteessa dkim2048. _domainkey .<oma-verkkotunnus>. Kopioi keskeytymätön avain nykyisestä lähteestä sen sijaan, että kirjoitat pitkää avainta kuvakaappauksesta tai tästä artikkelista. Jos DNS editori tarvitsee useita merkkijonoja 255 merkin merkkijonorajoituksensa vuoksi, niiden on muodostettava yksi looginen TXT tietue. Älä muuta paloja itsenäisiksi kilpaileviksi avaintietueiksi tai lisää välilyöntejä julkisen avaimen materiaaliin.
Palveluntarjoaja selittää, että kun vain k5. _domainkey on olemassa, se jatkaa vanhemman avaimen käyttöä, kunnes dkim2048 lisätään. Kun kumpaakaan avainta ei ole julkaistu, Symplify allekirjoittaa omalla toimialueellaan, eikä allekirjoitus ole linjassa asiakkaan Lähettäjä-toimialueen kanssa. Tästä syystä yleinen DKIM passi ei ole riittävä todiste hyväksymisestä. Lue todelliset d=- ja s=-arvot vastaanotetusta kampanjasta.
Julkaise tai tarkista sovellettava DMARC käytäntö. Palveluntarjoaja tarjoaa p=none lähtökohtana ja raportointiosoiteesimerkkinä, mutta postilaatikon on oltava todellinen ja valtuutettu. Älä alenna olemassa olevaa käytäntöä heijastaaksesi esimerkkiä. Symplify tarjoaa asennuksen vahvistuksen osoitteesta domainsetup@symplify.com ; tältä tiimiltä kysyminen on erillinen viestintä, joka vaatii valtuutuksen. Todennus ei myöskään korvaa vastaanottajan lupaa, listahygieniaa tai näkyvää tilauksen peruutuslinkkiä. Uusi ohje sanoo peruuta tilaus yhdellä napsautuksella Palvelu lisää otsikot, kun taas näkyvä linkki on mallin omistajan vastuulla.
Päätös jolla on merkitystä
Varmista, että dkim2048-allekirjoitus on linjassa asiakkaan From-verkkotunnuksen kanssa sen sijaan, että hyväksyt palveluntarjoajan verkkotunnuksen DKIM passin.
Tarkista julkaistut tietueet ja todellinen lähetyspolku
Tallenna omistajan muutos, lähettävä tuote, verkkotunnus, hyväksytty huoltoikkuna ja aiemmat DNS vastaukset ennen muokkaamista. Hanki nykyiset tietuearvot nimetystä tilistä tai dokumentoidusta palveluntarjoajan työnkulusta. Erota palveluntarjoajan toimittamat arvot organisaatiosi hallitsemista vaihtoehdoista, kuten DMARC -käytännöistä ja raportointivastaanottimista. Olemassa oleva postilaatikko MX , asiaankuulumattomat vahvistuksen TXT -tietueet ja aktiiviset DKIM valitsimet eivät ole siivousehdokkaita vain siksi, että uutta palvelua lisätään.
Tee kysely kunkin tarkan omistajan ja tietuetyypin arvovaltaisista nimipalvelimista julkaisun jälkeen. Kirjaa muistiin kyselyn aika, vastaava palvelin ja täydellinen vastaus. Vertaa TXT merkkijonoja yhdeksi loogiseksi arvoksi, jossa DNS vastaus jakaa ne merkkijonoiksi. Tarkista CNAME kohteet sekä aloitusalias. Vertaile sitten rekursiivisen resolverin vastausta tunnistaaksesi välimuistin erot. Onnistunut palveluntarjoajan validointi on hyödyllinen todiste määrityksestä, mutta se ei määritä, mitä todellinen vastaanottaja sai.
Lähetä vain valtuutettu testi valvotulle vastaanottajalle aiottua tuotereittiä käyttäen. Säilytä raakaviesti ja luotettava vastaanottava järjestelmä Authentication-Results. Tallenna näkyvä From domain, SMTP POSTIA LÄHETTÄJÄ tai havaittu Return-Path verkkotunnus, jokainen DKIM d=- ja s=-arvo, SPF ja DKIM -tulokset sekä vastaanottimen DMARC tulos. Läpäisevä SPF tai DKIM tarkistus tukee DMARC ia vain, kun sen todennettu verkkotunnus on soveltuvan käytännön mukaisen näkyvän Lähettäjä-verkkotunnuksen mukainen. Reply-To ja brändätty näyttönimi eivät ole tasausidentiteettiä. RFC 7208 , RFC 6376 ja RFC 9989 tarjoavat protokollapohjan näille eroille.
Hyväksymistaulukko, palautus ja todisteiden rajat
Tämä on alkuperäinen hyväksymistaulukko, ei raportti live-testauksesta. Merkitse jokainen portti odottamaan, kunnes todisteet ovat olemassa: tilin laajuus vahvistettu; edellinen DNS kaapattu; tarkka uusi omistaja/tyyppi/arvo julkaistu; palveluntarjoajan vahvistus valmis; suunniteltu reitti; vastaanotetut henkilöllisyydet tallennettu; kohdistettu todennus vahvistettu; muut lähettäjät eivät vaikuta. Osoita jokaiselle portille henkilö- ja todistetiedosto. Punainen portti estää käyttöönoton, vaikka palveluntarjoajan kojelauta olisi vihreä.
Jos testi epäonnistuu, erota ensin puuttuva julkaisu, vanhentuneet välimuistitiedot, epäaktiiviset palveluntarjoajan määritykset, väärä lähtevä reitti ja kohdistamaton todennus. Korjaa pienin havaittu vika ja testaa uudelleen. Älä heikennä DMARC tai poista muiden lähettäjien tietueita vain yhden testin suorittamiseksi. Jos muutos vahingoittaa olemassa olevaa postia, käytä hyväksyttyä palautussuunnitelmaa ja kaapattua muutosta edeltävää kokoonpanoa koordinoimalla palveluntarjoajan puolen lähettäjän muutoksia sekä DNS . Säilytä vanhat avaimet, kun jonossa olevat viestit tai hyväksytty päällekkäisyys vaativat niitä edelleen.
Tälle käsikirjoitukselle ei ollut saatavilla asiakasvuokralaista, arvovaltaista ennen/jälkeen muutosta tai todellista vastaanotettua viestiä. Säilytetyt lähteet tukevat dokumenttityönkulkua; ne eivät täytä tilattua live-todistusporttia. Riippumattoman tarkastajan tarkastus ja ihmisten pk-yritysten hyväksyntä odottavat edelleen. Älä kuvaile tätä opasta kenttävalidoiduksi tai julkaise sitä näiden porttien ylittäneen.
Käsittele vara-allekirjoitusta epätäydellisenä todisteena
Kirjallinen tapaus SY-01 olettaa, että kampanjalla on osoitteesta news@example.org , kumpaakaan asiakasverkkotunnuksen valitsinta ei ole julkaistu, ja hypoteettinen vastaanottaja näyttää ohittavan allekirjoituksen riippumattomalta palveluntarjoajalta. Tarkka palveluntarjoajan verkkotunnus, valitsin ja SPF tulos ovat tarkoituksella tuntemattomia, joten täydellistä DMARC -tuomiota ei vahvisteta. DNS omistajan on sovitettava aiottu dkim2048-tietue kampanjan omistajan kanssa ja hankittava sitten valvottu vastaanotettu viesti. Älä merkitse yleistä DKIM passia asiakkaan ja verkkotunnuksen mukaiseksi tai muuta pakotusta puuttuvan identiteetin piilottamiseksi. Kampanjaa, vahvistussähköpostia tai DNS toimintoa ei tapahtunut.
Säilytä täytäntöönpanoraja
RFC 9989 osio 7.4 vaatii kelvollisen DKIM , ei yksin SPF , verkkotunnuksille, joissa julkaistaan p=reject, ja varoittaa epäsuoran postin ja postituslistojen yhteentoimivuudesta. Yksittäinen onnistunut suoraviestitesti ei ole todiste siitä, että jokainen laillinen reitti on valmis vahvempaan politiikkaan. Säilytä olemassa oleva hyväksytty suojaus diagnosoidessasi todellista aukkoa; Jokainen politiikan muutos vaatii oman päätöksensä.