Utilisez la configuration actuelle du domaine avant de modifier DNS
La configuration du domaine d'envoi de SmartSurvey régit l'identité du courrier d'enquête. Commencez par le compte réel et les types de courrier qu'il envoie : invitations, rappels, déclencheurs, messages de sauvegarde et de continuation et rapports programmés. Enregistrez l'adresse d'expédition prévue pour chaque itinéraire et quels utilisateurs ou sous-comptes peuvent l'utiliser. Une invitation à un test réussie ne doit pas fermer les routes de notification non testées.
La page de configuration officielle a changé entre les versions récupérées. La page la plus récente, affichant la version 2026.11.3.24, indique que le domaine d'envoi lui-même n'a pas besoin de Enregistrement SPF pour cette configuration. Il décrit DKIM Vérification TXT et domaine de rebond optionnel avec MX et Enregistrements TXT. Utilisez la sortie actuelle du compte, et non les anciennes instructions root-SPF. Guide du domaine d'envoi SmartSurvey, Configuration.
L'écart est une mise en œuvre suspendue jusqu'à ce qu'un administrateur confirme le flux de travail présenté par le locataire. Conservez une copie datée des instructions actuelles et des enregistrements émis avec la demande de modification. Ne combinez pas de fragments d'anciens et de nouveaux flux, et ne supprimez pas un flux existant. SPF politique nécessaire aux autres services de messagerie.
Séparez l'adresse Web de l'enquête du domaine d'envoi
Choisissez les noms avec l'administrateur DNS avant la configuration. Le nom d'hôte du lien d'enquête de marque et le domaine d'envoi d'e-mails ne peuvent pas occuper le même CNAME propriétaire aux côtés des enregistrements de courrier. Le guide actuel met en garde contre cette collision. Guide du domaine d'envoi SmartSurvey, Choisir un domaine d'envoi.
Inventoriez l’utilisation actuelle DNS plutôt que de supposer qu’un nom est gratuit car il n’a pas de site Web. Il peut déjà servir de suivi, de zone enfant déléguée, de validation de certificat ou d'un autre fournisseur. Enregistrez les noms complets prévus pour le site d'enquête, visibles depuis et le domaine de rebond séparément. Ces noms ont des fonctions différentes même s'ils partagent la même domaine organisationnel.
Obtenez l'approbation du nom de l'expéditeur affiché et de la boîte aux lettres de réponse fonctionnelle. Les destinataires de l’enquête devront peut-être demander pourquoi ils ont été contactés ou demander de l’aide. Testez le routage des réponses en tant qu'exigence opérationnelle, tout en le distinguant du DMARC, qui compare le visible From avec des identités authentifiées plutôt que Reply-To.
Appliquer délibérément les autorisations de domaine et d'adresse
Dans Mon compte > Avancé > Paramètres de l'expéditeur de domaine, suivez le flux de vérification actuel du locataire et copiez ses enregistrements émis. Consultez la colonne Expéditeurs : un domaine peut autoriser n'importe quelle adresse ou exiger des adresses vérifiées individuellement. Le partage avec des sous-comptes élargit le nombre de personnes pouvant utiliser cette identité. Guide des domaines d'envoi SmartSurvey, quelles adresses peuvent envoyer et exigences d'adresses d'expéditeur vérifiées.
Le guide actuel indique également que les invitations planifiées existantes, les déclencheurs, les messages de sauvegarde et de poursuite et les exportations planifiées continuent d'être envoyés une fois que les exigences d'adresse vérifiée sont activées ; cette exigence s'applique lors de leur prochaine modification et sauvegarde. Les collaborateurs peuvent continuer à utiliser l'adresse vérifiée du propriétaire de l'enquête. Inventoriez explicitement les flux de travail existants au lieu de traiter le nouveau changement comme une révocation immédiate partout.
Créez une petite matrice d'autorisations avant de modifier ces contrôles. Incluez le propriétaire du compte, le propriétaire de l'enquête, les collaborateurs et les opérateurs de sous-compte. Pour chacun, identifiez quelle adresse De est autorisée et si le flux de travail existant est en cours de modification. Ne considérez pas une approbation à l’échelle du domaine comme une invitation à usurper l’identité d’un collègue. Conserver la portée approuvée dans le dossier de mise en œuvre.
La vérification de l'adresse et la vérification DNS répondent à différentes questions. La preuve que quelqu'un a reçu un e-mail de confirmation ne prouve pas que le courrier sortant utilise un Signature DKIM. À l’inverse, DNS valide n’établit pas que chaque utilisateur de compte doit être autorisé à sélectionner chaque adresse.
Vérifier l'itinéraire de rebond personnalisé selon ses propres conditions
Le guide de rebond de SmartSurvey décrit le passage de son ancienne implémentation CNAME à la version personnalisée Amazon SES COURRIER DE. Si un domaine de rebond est fourni mais échoue à la vérification, la vérification du domaine reste incomplète. Le laisser vide utilise un fournisseur Return-Path. Le modèle de sous-domaine personnalisé nécessite SPF détendu alignement lorsque l'enveloppe et les domaines visibles From diffèrent. Guide des domaines de rebond SmartSurvey.
La page de rebond appelle un enfant du domaine d'envoi, mais son exemple associe surveys.example.com avec le frère bounce.example.com . N’en déduisez pas que chaque arrangement entre frères et sœurs est pris en charge. Confirmez la relation exacte autorisée chez le locataire ou avec le support et conservez cette incertitude séparément de l'alignement du protocole.
Utilisez uniquement les valeurs MX et TXT affichées pour ce locataire. Ne créez pas de nom d'hôte de région SES, ne remplacez pas un CNAME générique ou ne réutilisez pas les valeurs du compte d'une autre organisation. Conservez la priorité MX ainsi que le propriétaire, le type, la cible et la durée de vie. Un changement MX chez le mauvais propriétaire pourrait affecter le courrier entrant ordinaire, donc un deuxième réviseur doit comparer les noms complets avant la publication.
Passez en revue la politique DMARC actuelle. Un domaine de rebond enfant peut s'aligner selon des règles SPF assouplies tout en échouant à une comparaison stricte de domaine exact. Cela ne fait pas automatiquement échouer l'ensemble du message DMARC : une signature DKIM alignée et passant indépendamment peut toujours la satisfaire. Appliquez les règles du protocole aux résultats du destinataire plutôt que de traiter chaque raccourci du fournisseur comme une évaluation complète. RFC 9989 , alignement des identifiants expliqué et évaluation DMARC.
Publier des enregistrements et préserver les réponses publiques
Exportez la zone concernée avant d’apporter des modifications. Ajoutez les enregistrements actuels exacts auprès du service faisant autorité et vérifiez les noms complets des propriétaires qui en résultent. Pour les valeurs DKIM longues, assurez-vous que l'éditeur DNS crée un enregistrement TXT logique, même si son texte est divisé en plusieurs chaînes. Ne créez pas plusieurs enregistrements de clés concurrents en même temps sélecteur.
Vérifiez la réponse DKIM publique par rapport à la clé du compte, puis effectuez la vérification du fournisseur. Les valeurs d et s d'une signature identifient le domaine de signature et le sélecteur ; le message reçu fournit la paire décisive à inspecter. RFC 6376 , sections 3.5 et 6.1.
Pour tout enregistrement SPF de domaine rebondi, conservez une stratégie chez ce propriétaire. Plusieurs stratégies SPF ne sont pas valides et les termes des requêtes DNS sont soumis à la limite d'évaluation du protocole. Ces contrôles s'appliquent au domaine d'enveloppe concerné, et non automatiquement au sommet de l'entreprise. RFC 7208 , sections 4.5 et 4.6.4.
Tester l’identité et le comportement de secours
Envoyez des échantillons inoffensifs via toutes les voies de courrier d'enquête matérielle à des destinataires externes contrôlés. Conservez l’ID du message, l’heure d’envoi, l’identifiant de l’enquête ou du flux de travail et les en-têtes d’origine. Dans la feuille de calcul, enregistrez le From visible, Return-Path , le résultat et le domaine SPF de confiance, tous les d et s DKIM et le résultat DMARC . Marquez explicitement le mécanisme aligné.
La documentation de vérification automatique de SmartSurvey indique que les problèmes DNS peuvent déclencher un avertissement du propriétaire du compte et désactiver ultérieurement le domaine d'envoi ; les systèmes concernés peuvent continuer à utiliser son expéditeur de secours. Cela signifie que la livraison peut se poursuivre pendant que la marque change. Vérifications automatiques des domaines SmartSurvey.
La page de vérification automatique décrit les vérifications des heures de travail en semaine et un préavis de 24 heures au propriétaire du compte avant la désactivation. Son ancienne formulation SPF diffère du flux de configuration actuel ; confirmez les enregistrements applicables plutôt que de recréer une étape SPF racine inutile. La page des problèmes de réception indique que seules les invitations exposent actuellement des retours de rebond, donc l'absence de rebond signalé pour une autre notification ne constitue pas une preuve de livraison.
Désignez quelqu’un pour recevoir ces avertissements et agir en conséquence. La surveillance doit vérifier à la fois l’arrivée des messages et l’identité attendue. Une règle qui ne compte que les invitations envoyées peut manquer la solution de secours. Le guide des problèmes de réception distingue également l'envoi d'applications du filtrage côté destinataire, donc conservez les détails exacts du rebond ou du rejet avant de supposer qu'une modification DNS corrigera chaque message manquant. Problèmes de réception des e-mails SmartSurvey.
Utiliser un enregistrement explicite de version et de récupération
Remplissez la feuille de travail de l'expéditeur et du rebond de SmartSurvey (créez un enregistrement de révision distinct avec les champs décrits ici). Incluez le flux documenté du locataire, la matrice des autorisations, les noms Web et de messagerie distincts et les preuves de chaque itinéraire. Si une exigence n’a pas été testée, laissez-la ouverte plutôt que de signaler une réussite universelle.
Si une nouvelle configuration échoue, suspendez les invitations concernées ou renvoyez-les à un expéditeur précédemment approuvé via le processus opérationnel convenu. Obtenez l’approbation de l’entreprise avant de vous fier délibérément au recours de la marque du fournisseur. Conservez les anciennes réponses d’authentification pendant que le trafic en file d’attente peut encore en avoir besoin. N’abaissez pas la politique DMARC à l’échelle de l’organisation simplement pour éviter d’enquêter sur une seule voie d’enquête.
Cas de diagnostic fictif impliquant un expéditeur de secours
Cas écrit fictif uniquement : SS-01 suppose que From surveys@orchard.example est attendu, mais l'invitation reçue indique à la place member@smartsurveyuser.com après un avertissement de désactivation de domaine. Les identités/résultats exacts DKIM et SPF sont inconnus. Le propriétaire de l'enquête doit inspecter l'avertissement, confirmer les paramètres DNS actuels émis par le locataire, restaurer uniquement la configuration approuvée et collecter une nouvelle invitation montrant l'identité de marque requise. La livraison seule ne constitue pas une acceptation, et aucune réparation ou alignement réussi n’est affirmé. Aucun locataire, DNS ou message n’a été inspecté.
L'acceptation reste en attente
Le brouillon suit le texte de configuration récupéré le plus récent et conserve la divergence du texte plus ancien pour examen. L'acceptation de la portée d'origine, la confirmation des fonctionnalités spécifiques au locataire, les preuves DNS et messages en direct, l'examen technique indépendant, l'examen visuel et l'approbation humaine de la PME restent en attente. Aucune configuration ou modification de politique n’a été effectuée.
Séparez un message qui passe de la préparation à l'application
La section 7.4 RFC 9989 requiert DKIM valide pour la publication d'un domaine p=reject et met en garde concernant l'interopérabilité du courrier indirect. Un seul résultat SPF aligné ne justifie pas en soi le déploiement d’une politique de rejet. Examinez tous les itinéraires légitimes et la propriété des politiques séparément de la configuration de ce fournisseur.