Un nouveau nom de marque dans une étiquette d'affichage n'équivaut pas au même changement qu'un nouveau domaine dans l'adresse De. Ce dernier change l'identité contre laquelle DMARC alignement est évalué. Une signature d’ancien domaine parfaitement valide peut donc cesser d’aider le nouveau message de marque. Planifiez la transition d'identité avant l'annonce du lancement, y compris les applications transactionnelles que l'équipe de communication ne possède pas.
Séparez les champs d'identité
Pour chaque itinéraire, capturez l'adresse De départ visible, expéditeur d'enveloppe, DKIM d= domain and sélecteuret l'adresse de réponse. Le nom d’affichage est présentation. Répondre à dirige les réponses. Ni l'un ni l'autre ne remplace l'identifiant authentifié utilisé par DMARC . RFC 9989 définit l'alignement ; RFC 6376 définit l'identité de signature et la recherche du sélecteur.
Ne présumez pas que les anciens et les nouveaux domaines de marque s'alignent parce qu'une entreprise possède les deux. Sous alignement strict, les noms de domaine doivent correspondre. L'alignement détendu utilise la relation organisation-domaine du protocole, et non une liste d'acquisitions d'entreprises. L'exemple suivant suppose un alignement DKIM strict et isole une signature ; il n'implémente pas la découverte DMARC et ne détermine pas le résultat complet du message.
Établir le nouveau domaine avant le basculement
Marketing des stocks, courrier des employés, factures, réinitialisations de mots de passe, tickets d'assistance et alertes basse fréquence. Pour chacun, configurez la nouvelle identité d'envoi prise en charge par le fournisseur et DNS requis, en utilisant les valeurs générées pour le compte réel. Obtenez les résultats des récepteurs fiables à partir de messages de test contrôlés. Vérifiez à la fois l'authentification et le workflow métier : un message de réinitialisation qui passe DMARC mais contient un lien rompu n'est pas prêt.
Conservez un chemin documenté pour les réponses et les anciennes adresses. Continuer à recevoir du courrier sur l'ancien domaine est distinct du maintien de l'autorisation des expéditeurs sortants. Convenez de la durée pendant laquelle les anciennes identités restent nécessaires et de la manière dont les messages retardés signés avec les anciens sélecteurs seront traités. Évitez de supprimer une clé publique simplement parce que le dernier message nouvellement généré a changé.
Comparez quatre résultats de signature hypothétiques
Supposons que From soit oldbrand.test et qu'une signature valide ait d=oldbrand.test: cette signature s'aligne strictement. Remplacez uniquement From par newbrand.test, en conservant la signature valide de l'ancien domaine : elle ne s'aligne plus strictement. Une signature valide avec d=newbrand.test restaure ce chemin DKIM aligné. Si la vérification de cette signature de nouveau domaine échoue, le texte du domaine correspondant ne peut à lui seul fournir un chemin de transmission. Il s’agit d’entrées supposées et de comparaisons manuelles, et non de code exécuté ou de vérification cryptographique.
Une autre signature alignée valide ou alignée SPF pass pourrait toujours satisfaire à la règle DMARC au niveau du message. Inspectez tous les chemins pertinents avant de déclarer un échec et ne déduisez pas la disposition du récepteur ou le placement dans la boîte de réception. Séparément, RFC 9989 les articles 7.4 et 8 exigent p=reject domaines pour utiliser des signatures DKIM valides et ne pas s'appuyer uniquement sur SPF . Avant le lancement, vérifiez la transaction de réinitialisation ainsi que l'authentification : un lien de réinitialisation rompu reste un échec commercial même avec un pass aligné.
Organiser le lancement et définir la récupération
Déplacez d'abord un volet approuvé et observez les résultats de sa candidature, les résultats des récepteurs et les rapports. Rapports agrégés sont des observations retardées des récepteurs participants, et non un moniteur de lancement complet. Ajoutez des contrôles directs pour les flux importants pour l'entreprise. Un volume marketing sain ne doit pas cacher une facture ou un échec de réinitialisation.
Définissez la restauration avant le lancement : qui peut restaurer l'identité From précédente, si l'ancienne authentification reste valide et qu'arrive-t-il au courrier déjà en file d'attente. L’inversion uniquement du nom d’affichage ne peut pas réparer un échec d’alignement. Retirez les anciennes autorisations d’envoi lorsque le flux final autorisé a été déplacé et que le plan de courrier différé est terminé. Conservez la propriété de l'ancien domaine et les décisions de routage entrant séparément de l'enregistrement de retrait sortant.