मंजूरी देने से पहले DKIM प्रतिनिधिमंडल, सटीक DNS परिवर्तन और हस्ताक्षरित पहचान के लिए पूछें जो इसे सक्षम करेगा। "हमारे DNS रिकॉर्ड जोड़ें" सुरक्षा समीक्षा के लिए बहुत व्यापक निर्देश है। ए चयनकर्ता CNAME, एक एनएस प्रतिनिधिमंडल और संपूर्ण DNS खाते तक पहुंच विभिन्न प्रकार के नियंत्रण प्रदान करती है।
इसे मंजूरी देने से पहले सीमा बनाएं
एक चयनकर्ता स्वामी के नाम पर एक CNAME अपने लक्ष्य के माध्यम से समाधान को निर्देशित करता है। उस लक्ष्य को नियंत्रित करने वाला प्रदाता उपनाम के माध्यम से प्राप्त सत्यापन डेटा को बदल सकता है। यह, अपने आप में, आपके क्षेत्र में मनमाने नाम संपादित करने की अनुमति नहीं देता है। एक एनएस प्रतिनिधिमंडल एक ज़ोन सीमा स्थापित करता है और DNS पदानुक्रम के अधीन, इसके नीचे के नामों के लिए प्रत्यायोजित आधिकारिक सर्वर को जिम्मेदारी देता है। संपूर्ण-खाता प्रशासनिक पहुंच अभी भी बहुत व्यापक हो सकती है। RFC 1034 §3.6.2 और RFC 1034 §4.2 इन DNS तंत्रों का वर्णन करें।
अनुमोदन में स्वामी का नाम और प्रभावित उपवृक्ष लिखें। के लिए एक अनुरोध service1._domainkey.example.com संपूर्ण नियंत्रण से भिन्न है _domainkey.example.com उपवृक्ष. एक संकीर्ण प्रदाता-समर्थित रिकॉर्ड को एक व्यापक प्रतिनिधिमंडल के साथ प्रतिस्थापित न करें क्योंकि इसे स्वचालित करना आसान लगता है।
DNS स्कोप को हस्ताक्षर प्रभाव से अलग करें
DKIM सत्यापन हस्ताक्षर के चयनकर्ता और हस्ताक्षर डोमेन का उपयोग करके एक कुंजी प्राप्त करता है। प्रयोग करने योग्य चयनकर्ता के सत्यापन डेटा पर नियंत्रण, मिलान वाली निजी हस्ताक्षर कुंजी के साथ, उस हस्ताक्षर डोमेन के लिए वैध हस्ताक्षर सक्षम कर सकता है। इसलिए एक DNS नाम की स्पष्ट संकीर्णता का मतलब यह नहीं है कि ईमेल ट्रस्ट परिणाम नगण्य है।
एक सिंथेटिक उदाहरण भेद को दर्शाता है। एक प्रदाता को एक CNAME प्राप्त होता है invoices._domainkey.example.com और मिलान करने वाले हस्ताक्षरकर्ता को संचालित करता है d=example.com. इसकी DNS पहुंच उपनाम लक्ष्य तक ही सीमित है, लेकिन वह हस्ताक्षरकर्ता जिम्मेदारी का दावा करते हुए हस्ताक्षर उत्पन्न कर सकता है example.com. इनवॉइस नामक चयनकर्ता स्वयं चालान, विशेष प्राप्तकर्ताओं या किसी स्वीकृत अभियान तक हस्ताक्षरों को प्रतिबंधित नहीं करता है। एप्लिकेशन और खाता नियंत्रणों को वे सीमाएं लगानी होंगी।
यदि आप एक समर्पित भेजने वाले उपडोमेन का उपयोग करते हैं, तो लागू का आकलन करें DMARC संरेखण नियम भी. उपडोमेन पृथक्करण स्वचालित रूप से शिथिल संरेखण को अलग नहीं करता है। RFC 9989 §4.4 वर्णन करता है कि प्रमाणित पहचानकर्ताओं की तुलना लेखक डोमेन से कैसे की जाती है; नीति और संगठनात्मक-डोमेन निर्धारण मायने रखता है।
अनुमोदन प्रश्न का उत्तर देने वाले साक्ष्य एकत्र करें
प्रदाता के वर्तमान निर्देशों, जेनरेट किए गए नाम, खाता पहचानकर्ता, समर्थित हस्ताक्षर डोमेन और रोटेशन मॉडल का अनुरोध करें। सत्यापित करें कि प्रदाता खाते के अंदर उन मानों को कौन बदल सकता है और क्या भूमिका पृथक्करण उपलब्ध है। खाता बंद करने और पुरानी-डीएनएस हैंडलिंग के बारे में पूछें, बिना उन संविदात्मक गारंटी के, जिनकी आपूर्ति नहीं की गई है।
एक कॉम्पैक्ट रजिस्टर बनाएँ: DNS स्वामी, रिकॉर्ड प्रकार, गंतव्य या नेमसर्वर, सेवा स्वामी, इरादा d= पहचान, विशेषाधिकार प्राप्त प्रदाता उपयोगकर्ता, नवीनीकरण तिथि और सेवानिवृत्ति प्रक्रिया। प्रस्तावित एनएस प्रतिनिधिमंडल के लिए, इसे मंजूरी देने से पहले मौजूदा चयनकर्ताओं के लिए संपूर्ण प्रभावित उपवृक्ष का निरीक्षण करें। खाता-पहुँच अनुरोध के लिए, चुनौती दें कि प्रति-रिकॉर्ड निर्देश या एक संकीर्ण समर्थित भूमिका अपर्याप्त क्यों है।
ऑनबोर्डिंग और योजना समाप्ति का परीक्षण करें
स्वीकृत परिवर्तन के बाद, आधिकारिक और पुनरावर्ती DNS अवलोकनों की तुलना करें और इच्छित सेवा के माध्यम से भेजें। किसी विश्वसनीय रिसीवर के DKIM परिणाम और संरेखण का निरीक्षण करें। परीक्षण को दी गई पहचान प्रदर्शित करनी चाहिए, न कि केवल यह दिखाना चाहिए कि कुछ हस्ताक्षर पास हो गए हैं।
समाप्ति पर, एप्लिकेशन एक्सेस रोकें, अप्रचलित प्रेषण क्रेडेंशियल हटाएं और वितरण कतारों और प्रदाता की प्रक्रिया के साथ चयनकर्ता सेवानिवृत्ति का समन्वय करें। यदि प्रदाता पर समझौता करने का संदेह है, तो नियमित ओवरलैप को स्वचालित रूप से संरक्षित करने के बजाय घटना प्रतिक्रिया शुरू करें। खरीद रिकॉर्ड में निष्क्रिय के रूप में चिह्नित सेवा अभी भी एक जीवित तकनीकी निर्भरता का प्रतिनिधित्व कर सकती है।
अवशिष्ट विश्वास को स्पष्ट रूप से दस्तावेज़ित करें: प्रदाता किस पर हस्ताक्षर कर सकता है, कौन इसका प्रबंधन कर सकता है और संगठन कितनी जल्दी निर्भरता को हटा सकता है। वह रिकॉर्ड बाद में नवीनीकरण को मूल DNS टिकट की पुनरावृत्ति के बजाय वास्तविक प्राधिकरण की समीक्षा बनाता है।
तीन काल्पनिक अनुमोदन अनुरोधों की तुलना करें
दायरे और परिणाम का एक साथ उपयोग करें:
- एक चयनकर्ता CNAME : इसके सटीक स्वामी और लक्ष्य, इच्छित पहचान और प्रदाता-खाता नियंत्रण की समीक्षा करें। यह मनमाना ज़ोन-संपादन पहुंच प्रदान नहीं करता है, लेकिन इसकी कुंजी मैपिंग उस पहचान के लिए हस्ताक्षर करने में सक्षम कर सकती है।
- _domainkey.example.com के नीचे एनएस प्रतिनिधिमंडल: उस प्रत्यायोजित क्षेत्र के अंतर्गत चयनकर्ताओं की सूची बनाएं और जो इसके आधिकारिक सर्वर को नियंत्रित करते हैं। मौजूदा या भविष्य के चयनकर्ता प्रभावित हो सकते हैं, जो आगे जोन में कटौती के अधीन है।
- पूर्ण DNS खाता पहुंच: एक स्पष्ट आवश्यकता की आवश्यकता है और खाते की वास्तविक अनुमतियों का निरीक्षण करें। यह असंबंधित मेल और वेब रिकॉर्ड तक पहुंच सकता है; यह एक चयनकर्ता उपनाम प्रकाशित करने के बराबर नहीं है।
ये समीक्षा परिदृश्य हैं, न कि प्राधिकरण या वास्तविक क्षेत्र में किए गए परिवर्तन। यदि सटीक दायरा या स्वामित्व अज्ञात है, तो अनुमोदन से पहले उस अंतर को हल करें।
संबंधित पढ़ना
DKIM TXT और CNAME प्रकाशन: प्रदाता के कुंजी-प्रबंधन मॉडल का पालन करें · DKIM कुंजी को निरस्त करें और निरस्तीकरण को गुम DNS रिकॉर्ड से अलग करें.