Laajuus ja valmistelu
Tämä opas kattaa Taguchin lähetysverkkotunnuksen asetukset. Se on dokumentaarinen menettely, ei raportti elävän vuokralaisen testistä. Hanki järjestelmänvalvoja, DNS käyttöoikeus ja kampanjan omistaja. Tallenna olemassa olevat tietueet ja päätä, mitä From-verkkotunnuksesta kampanja on valtuutettu käyttämään. Varaa erillinen paluupolku nimi, joka ei jo tarjoa muuta palvelua.
Määritä lähettävä toimialue
Lisää kohdassa Asetukset > Toimialue Toimialue- ja paluupolkukomponentti, valitse a valitsin, sitten tallenna. Julkaise CNAME ja TXT merkinnät, jotka on luotu DNS Records -sarakkeessa käyttämällä omia määrityksiäsi ohjeiden esimerkkien sijaan. Taguchi erottaa vireillä olevan, valtuutetun ja määritetyn. DNS valtuutuksen jälkeen tuen on suoritettava määritys loppuun. valitse sitten verkkotunnus malliteemassa. Palveluntarjoaja kuvaa 24 tunnin valtuutusikkunaa. Tarkista tietueen tarkkuus ennen jatkuvan Odotustilan eskalointia. Katso Taguchi-asennuslähde alla.
Alkuperäinen kampanjan hyväksymissuunnitelma
Valmista samasta kampanjasta kaksi vaaratonta versiota: yksi ennen teeman vaihtamista ja toinen sen jälkeen. Tallenna teema, toimialueelta, kirjekuorialue, jokainen allekirjoitustoimialue ja luotettujen vastaanottajien tulokset molemmille. Tämä eristää kokoonpanomuutoksen, joka on olemassa DNS ssä, mutta jota kampanja ei vielä käytä. Älä tulkitse valtuutettua etikettiä todisteeksi kampanjan vaihtamisesta.
Kuvitteelliselle osoitteesta domain notices.example.org kirjekuori alla bounce.notices.example.org kertoo, miksi se on rento SPF linjaus ja tiukka SPF kohdistus voi vaihdella. Nämä ovat opetusidentiteettejä, eivät Taguchin myöntämiä arvoja tai havaittuja tuloksia. Testaa valittua kohdistustilaa eksplisiittisesti ja suosi todellisen viestin todisteita kojelaudan tarraa koskevien oletusten sijaan. Alla olevassa hyväksymissuunnitelmassa ei ole havaittu tulosrivejä; se on opastus eikä liitteenä oleva mittaustaulukko.
Todista henkilöllisyys vastaanottimessa
Käytä ohjattua ulkoista postilaatikkoa ja lähetä tuotannon työnkulun kautta vaarattomalla sisällöllä ja ilman asiakastietoja. Tallenna raakaviesti, aikaleima ja vastaanottavan järjestelmän tiedot Authentication-Results. Ohita epäluotettavan lähettäjän lisäämät todennusvahvistukset. Tallenna näkyvä From-toimialue, Return-Path tai todennettu kirjekuoren identiteetti ja kaikki DKIM d= and s= pair. A display name or Reply-To address is not the DMARC identiteetti.
SPF passi valtuuttaa yhdistävän palvelimen arvioituun kirjekuoren identiteettiin. DKIM passi vahvistaa allekirjoituksen sen allekirjoitustoimialueelle. DMARC tarvitsee välitysmenetelmän, jonka verkkoalue on linjassa näkyvän From:n kanssa: tiukka kohdistus vaatii saman toimialueen; rento kohdistus mahdollistaa sovellettavan organisaation ja toimialueen suhteen. Palveluntarjoajan omistama allekirjoitus voi kulkea läpi ilman näkyvän lähettäjän todennusta. Yksi ohitus linjassa DKIM -allekirjoitus voi täyttää DMARC vaikka toinen allekirjoitus epäonnistuisi. Nämä protokollasäännöt tulevat RFC 7208 sta, RFC 6376 sta ja RFC 9989, lueteltu alla.
Tarkista virallinen DNS ennen välimuistien diagnosointia. Pyydä arvovaltaiselta palvelimelta tarkka nimi ja tyyppi ja vertaa sitten rekursiivista ratkaisijaa sen välimuistissa olevan käyttöiän jälkeen. Jos kyseessä on DKIM , seuraa mitä tahansa CNAME tä sen julkisen avaimen TXT vastaukseen. Älä koskaan julkaise yksityistä avainta. Säilytä yksi SPF käytäntö kussakin arvioidussa nimessä ja tarkista kymmenen DNS-hakua aiheuttavan termin raja sisäkkäisissä sisällykkeissä. Älä korvaa jaettua SPF -käytäntöä palveluntarjoajan esimerkillä.
Toipuminen ja hyväksyminen
Keskeytä vaikuttanut työnkulku, jos testit osoittavat uuden regression. Vertaa muutettua tietuetta tallennettuun versioon ja kumoa vain tämä muutos tarkistettuasi muut lähettäjät. Tarkista DNS uudelleen ja lähetä se uudelleen palautuksen jälkeen; arvon palauttaminen ei huuhtele jokaista ratkaisijaa välittömästi. Säilytä vanhat DKIM -vahvistustietueet saatavilla, kun aiemmin allekirjoitetut viestit saattavat edelleen olla kuljetuksen aikana, ellei tietoturvahäiriö vaadi peruuttamista.
Hyväksy muutos vain, kun DNS , sovelluksen tila ja todellinen vastaanotettu viesti sopivat. Tallenna kulun omistaja, todisteiden aikaleima ja seuraava tarkistuskäynnistin. Saapuneet-kansion sijoittaminen ei yksinään ole todiste todennuksesta, eikä onnistunut todennus takaa postilaatikon sijoittamista. Älä kiristä jaetun verkkotunnuksen DMARC käytäntöä yhden palveluntarjoajan testin perusteella. Inventoi ensin muut lailliset lähteet.
Käytä tilakirjaa ennen kampanjan julkaisua
Kirjallinen tapaus TG-01 olettaa, että uusi verkkotunnus on notices.example.org , valittu paluupolun komponentti on palautus ja valitsin on todellinen tilin myöntämä arvo, jota ei ole annettu tässä esimerkissä. DNS valtuutus on määrätty valmiiksi, mutta tila on Valtuutettu eikä Configured, ja kampanjan teema valitsee edelleen vanhan verkkotunnuksen. Tuen omistajan on suoritettava palveluntarjoajan aktivointi, minkä jälkeen kampanjan omistaja valitsee teemassa hyväksytyn verkkotunnuksen ja suorittaa kontrolloidun testin. Siihen asti muuttuneen kampanjan todelliset Lähettäjä-, kirjekuori- ja DKIM -tulokset eivät ole tiedossa. Älä merkitse sitä valmiiksi pelkästään DNS . Tukipyyntöä, mallin muokkausta, DNS kyselyä tai kampanjan lähetystä ei tapahtunut.
Säilytä täytäntöönpanoraja
RFC 9989 osio 7.4 edellyttää kelvollista DKIM , ei pelkästään SPF , verkkotunnusten julkaisemiseen p=reject, ja varoittaa epäsuoran postin ja postituslistan yhteentoimivuudesta. Yksittäinen onnistunut suoraviestitesti ei ole todiste siitä, että jokainen laillinen reitti on valmis vahvempaan politiikkaan. Säilytä olemassa oleva hyväksytty suojaus diagnosoidessasi todellista aukkoa; Jokainen politiikan muutos vaatii oman päätöksensä.