मेल प्रमाणीकरण और परिवहन के लिए निर्भरता मानचित्र बनाए रखें

उन निर्णयों को मैप करें जो मेल सिस्टम वास्तव में लेते हैं

एक उपयोगी ईमेल निर्भरता मानचित्र एक व्यवसाय भेजने वाली सेवा को उसके द्वारा उपयोग की जाने वाली पहचान, DNS रिकॉर्ड और परिवहन सेवाओं से जोड़ता है। प्रत्येक की एक सूची TXT रिकॉर्ड पर्याप्त नहीं है. मानचित्र को स्वामी को यह उत्तर देने देना चाहिए कि यदि प्रदाता, होस्टनाम, कुंजी या नीति में परिवर्तन होता है तो क्या नुकसान हो सकता है, और उस परिवर्तन को मंजूरी देने से पहले आवश्यक साक्ष्य की पहचान करनी चाहिए।

आउटबाउंड पहचान प्रमाणीकरण और इनबाउंड परिवहन नीति को अलग शाखाओं के रूप में रखें। वे प्रशासक और डोमेन साझा कर सकते हैं, लेकिन वे एक ही निर्णय की सुरक्षा नहीं करते हैं। यहां प्रस्तावित नक्शा एक परिचालन मॉडल है जिसे एक संगठन को अपनी अधिकृत सूची और संदेश साक्ष्य से तैयार करना होगा। यह दावा नहीं है कि DNS स्कैन प्रत्येक प्रेषक का पता लगा सकता है या सभी प्राप्तकर्ता के व्यवहार को निर्धारित कर सकता है।

प्रत्येक आउटबाउंड शाखा को वास्तविक प्रेषण मार्ग से प्रारंभ करें

आवधिक बिलिंग, समर्थन प्रणाली और बाहरी रूप से प्रबंधित अभियानों सहित प्रत्येक सेवा और भौतिक रूप से अलग मार्ग के लिए एक प्रविष्टि बनाएं। इसके व्यवसाय स्वामी, तकनीकी स्वामी, दृश्यमान लेखक डोमेन, लिफाफा डोमेन, बुनियादी ढांचे को भेजने और अवलोकन को रिकॉर्ड करें DKIM डोमेन पर हस्ताक्षर करना और चयनकर्ता. प्रत्येक मान को देखे गए, प्रदाता द्वारा प्रलेखित या अभी भी अज्ञात के रूप में चिह्नित करें। किसी विक्रेता की सामान्य सेटअप मार्गदर्शिका को इस खाते के कॉन्फ़िगरेशन के साक्ष्य में न बदलें।

The SPF शाखा मूल्यांकन की गई पहचान से शुरू होती है और उस मार्ग के लिए वास्तव में प्रासंगिक नीति शर्तों का पालन करती है। बाहरी नीति संदर्भ और उन्हें नियंत्रित करने वाली टीमें शामिल करें। RFC 7208 अनुभाग 2.3 और 4.6.4 पहचान मूल्यांकन और डीएनएस-निर्भर सीमाओं की व्याख्या करें। एक निर्भरता मानचित्र दिखा सकता है कि बाहरी परिवर्तन मूल्यांकन को कहाँ प्रभावित कर सकते हैं, लेकिन नोड्स की एक स्थिर गणना प्रत्येक कनेक्टिंग पते के लिए परिणाम स्थापित नहीं करती है।

DKIM शाखा हस्ताक्षर के डी और एस मानों से शुरू होती है और चयनकर्ता के सत्यापन रिकॉर्ड की ओर ले जाती है। कोई भी उपनाम लक्ष्य, लक्ष्य-क्षेत्र स्वामी और कुंजी-जीवनचक्र स्वामी जोड़ें। RFC 6376 अनुभाग 3.6.2.1 इस लुकअप नेमस्पेस को परिभाषित करता है। निजी कुंजियों को मानचित्र से दूर रखें; सुरक्षित परिचालन स्वामित्व रिकॉर्ड करें और इसके बजाय एक अनुमोदित कुंजी-प्रबंधन प्रणाली का संदर्भ लें।

प्रमाणीकरण को प्रासंगिक DMARC निर्णय से जोड़ें

लागू होने पर लेखक डोमेन जोड़ें DMARC पॉलिसी रिकॉर्ड और पॉलिसी की खोज कैसे हुई इसके साक्ष्य। पासिंग प्रमाणित पहचानकर्ताओं को इससे लिंक करें संरेखण निर्णय, सख्त या शिथिल मोड की पहचान के साथ। अंतर्गत RFC 9989 अनुभाग 4.4, एक वैध संरेखित SPF या DKIM पहचानकर्ता DMARC संतुष्ट कर सकता है ; दो असंबंधित प्रमाणीकरण पास संरेखण स्थापित नहीं कर सकते।

नीति-खोज मूल्यांकन के लिए उपयोग किए गए विनिर्देश और कार्यान्वयन संदर्भ को रिकॉर्ड करें। RFC 9989 एक का वर्णन करता है DNS ट्री वॉक, इसलिए खोज के बारे में विरासत में मिली स्प्रेडशीट धारणा को चुपचाप आगे बढ़ाने के बजाय उसकी समीक्षा की जानी चाहिए। मानचित्र में उन रिसीवरों के बारे में अनिश्चितता बनी रहनी चाहिए जिनके कार्यान्वयन को सत्यापित नहीं किया गया है। रिपोर्टिंग गंतव्य और उनका स्वामित्व शामिल करें, लेकिन रिपोर्टिंग उपलब्धता को साक्ष्य से अलग रखें कि प्रत्येक वैध प्रेषक का अवलोकन किया गया है।

स्वामी की अनुरोधित नीति और प्राप्तकर्ता द्वारा विभिन्न क्षेत्रों में देखी गई हैंडलिंग दिखाएं। इससे भावी समीक्षक के लिए किसी नीति स्ट्रिंग को यह साबित करना कठिन हो जाता है कि कोई संदेश अस्वीकार कर दिया गया था, वितरित किया गया था या इनबॉक्स में रखा गया था।

स्वतंत्र परिवहन शाखा जोड़ें

इनबाउंड मेल के लिए, प्राप्तकर्ता डोमेन को उसके MX होस्ट और उनकी पता निर्भरता से कनेक्ट करें। अगर MTA-STS तैनात किया गया है, डिस्कवरी TXT रिकॉर्ड, HTTPS पॉलिसी होस्ट, प्रमाणपत्र रखरखाव स्वामी, प्रकाशित मोड, अनुमत MX नाम और पॉलिसी जीवनकाल जोड़ें। RFC 8461 धारा 3 और 6 खोज और कैशिंग का वर्णन करें. पॉलिसी जीवनकाल DNS TTL के समान फ़ील्ड नहीं है, और एक को बदलने से सीधे दूसरे को दोबारा नहीं लिखा जाता है।

कहाँ DANE SMTP तैनात है, मैप करें DNSSEC श्रृंखला, MX रिज़ॉल्यूशन, TLSA रिकॉर्ड और संबंधित TLS सेवा। RFC 7672 अनुभाग 2 प्रमाणित DNS एक केंद्रीय निर्भरता बनाता है। सत्यापन और प्रमाणपत्र संबंध के बिना इन्वेंट्री में कॉपी किया गया टीएलएसए रिकॉर्ड अधूरा परिचालन साक्ष्य है।

TLS रिपोर्टिंग को एक अवलोकन चैनल के रूप में जोड़ें, प्रवर्तन तंत्र के रूप में नहीं। RFC 8460 अनुभाग 3 रिपोर्टिंग नीति खोज को परिभाषित करता है। रिपोर्टिंग गंतव्य को एक मालिक और एक समीक्षा प्रक्रिया की आवश्यकता होती है, जबकि वास्तविक परिवहन नीति एक अलग निर्भरता बनी रहती है।

प्रदाता माइग्रेशन का काल्पनिक उदाहरण

काल्पनिक संगठन एक्ज़ाम्पल रिपेयर्स इनवॉइस मेल को एक नए विक्रेता के पास ले जाने की योजना बना रहा है। इसका प्रस्तावित मानचित्र बिलिंग सेवा को लेखक डोमेन, एक अलग लिफ़ाफ़ा डोमेन और एक उपनाम के माध्यम से होस्ट किए गए पुराने DKIM चयनकर्ता के रूप में billing.example.com से जोड़ता है। माइग्रेशन स्वामी ने नोटिस किया कि सेवानिवृत्त प्रदाता अभी भी उपनाम लक्ष्य को नियंत्रित करता है और कुछ पंक्तिबद्ध संदेशों में पुराने हस्ताक्षर हो सकते हैं।

इसलिए समीक्षा में एक चरणबद्ध हस्ताक्षर परिवर्तन, प्रतिस्थापन मार्ग का सत्यापन और एक अलग से अनुमोदित सेवानिवृत्ति निर्णय का प्रस्ताव है। इस बीच, इनबाउंड MX और MTA-STS प्रविष्टियां एक अलग शाखा बनी हुई हैं और आउटबाउंड विक्रेता चाल के हिस्से के रूप में स्वचालित रूप से संपादित नहीं की जाती हैं। इस उदाहरण का आविष्कार किया गया है; पहचान, अनुमोदन और संदेश परिणाम वास्तविक खाते से प्राप्त नहीं किए गए हैं।

मानचित्र का लाभ वह प्रश्न है जो यह उजागर करता है: कौन सा साक्ष्य वैध संदेशों के सत्यापन को तोड़े बिना उस उपनाम को हटाने की अनुमति देता है? मानचित्र स्वयं इसका उत्तर नहीं देता। सेवा स्वामी को कतार और हस्ताक्षर संबंधी जानकारी प्रदान करनी होगी, और समीक्षक को उन तथ्यों को प्रस्तावित परिवर्तन से जोड़ना होगा।

मानचित्र के साथ साक्ष्य और स्वामित्व बनाए रखें

प्रत्येक किनारे को अंतिम-सत्यापित तिथि, साक्ष्य संदर्भ, स्वामी और समीक्षा ट्रिगर दें। विक्रेता माइग्रेशन, चयनकर्ता रोटेशन, प्रतिनिधिमंडल परिवर्तन, परिवहन-नीति संपादन या अस्पष्टीकृत प्रमाणीकरण विफलता के बाद इसे दोबारा देखें। अज्ञात मालिकों और असत्यापित किनारों को अनुमानों से भरे रहने के बजाय दृश्यमान रहना चाहिए।

रोलआउट से पहले, प्रेषक-दर-प्रेषक तत्परता मैट्रिक्स, सटीक नीति अंतर और अनुमोदन रिकॉर्ड बनाएं। अधिकृत निष्पादन के बाद, प्रासंगिक संदेश और DNS अवलोकन संलग्न करें। वे कैटलॉग के लिए आवश्यक मूल कलाकृतियाँ हैं और यहाँ खुली रहती हैं। यह पांडुलिपि एक मानचित्र डिज़ाइन और एक काल्पनिक निर्णय अभ्यास प्रदान करती है, न कि आबादी वाली किरायेदार सूची या सत्यापित रोलआउट।