एक परीक्षण वातावरण को उत्पादन पहचान पर अनावश्यक अधिकार दिए बिना परिवर्तनों को सत्यापित करना संभव बनाना चाहिए। प्रेषक रजिस्टर में एप्लिकेशन वातावरण को अलग करें और उनके DNS , हस्ताक्षर, रिले और प्राप्तकर्ता अनुमतियों की स्वतंत्र रूप से समीक्षा करें। स्टेजिंग नामक लेबल एक अलगाव नियंत्रण नहीं है जब यह उत्पादन क्रेडेंशियल्स या समान अप्रतिबंधित हस्ताक्षर कुंजी का उपयोग करता है।
पर्यावरण सीमा को परिभाषित करें
एप्लिकेशन उद्देश्य, पर्यावरण, स्वामी, गंभीरता, डोमेन से दृश्यमान, लिफ़ाफ़ा डोमेन, रिकॉर्ड करें DKIM हस्ताक्षर करने वाली पहचान, समापन बिंदु, अनुमोदित प्राप्तकर्ता, अंतिम परीक्षण और अनुमोदन संदर्भ। जहां प्लेटफ़ॉर्म अनुमति देता है वहां विशिष्ट सेवा पहचान और क्रेडेंशियल स्टोर का उपयोग करें। उत्पादन रहस्यों को किसी फिक्स्चर या दस्तावेज़ीकरण उदाहरण में कॉपी न करें।
एक समर्पित परीक्षण उपडोमेन नामकरण और नीति को अलग करने में मदद कर सकता है, लेकिन यह स्वचालित रूप से एक सुरक्षा सीमा नहीं है। DMARC आराम संरेखण प्रोटोकॉल की लागू खोज और संरेखण नियमों के आधार पर, डोमेन को संगठनात्मक-डोमेन स्तर पर संबंधित किया जा सकता है। यह मानने के बजाय कि एक अलग बाईं ओर का लेबल मेल को असंबंधित बनाता है, वास्तविक संरेखण व्यवहार को सत्यापित करें। RFC 9989.
नामकरण से अलग अधिकार
निरीक्षण करें कि प्रत्येक हस्ताक्षर सेवा, DNS प्रतिनिधिमंडल और रिले नियम क्या कर सकते हैं। उत्पादन डोमेन के लिए हस्ताक्षर करने की अनुमति वाली परीक्षण सेवा अभी भी उत्पादन-संरेखित मेल का उत्पादन कर सकती है। एक समर्पित डोमेन वाला परीक्षण प्रेषक अभी भी वास्तविक ग्राहकों तक पहुंच सकता है यदि उसके प्राप्तकर्ता नियंत्रण अप्रतिबंधित हैं। प्रमाणीकरण और प्राप्तकर्ता नियंत्रण विभिन्न समस्याओं का समाधान करते हैं।
के लिए SPF, वास्तविक लिफाफे की पहचान और उसके अधिकृत प्रेषण बुनियादी ढांचे की जांच करें। DKIM के लिए, जांच करें चयनकर्ता केवल प्रदर्शन पते के बजाय स्वामित्व और हस्ताक्षरित डोमेन। RFC 7208 और RFC 6376. साझा प्राधिकार को प्रभाव, स्वामी और समाप्ति के साथ एक स्पष्ट अपवाद मानें, अदृश्य सुविधा नहीं।
दो स्टेजिंग विफलताओं को अलग करें
मान लीजिए कि एक स्टेजिंग सेवा के पास डोमेन से एक समर्पित परीक्षण है, लेकिन इसके हस्ताक्षर क्रेडेंशियल उत्पादन के लिए भी हस्ताक्षर कर सकते हैं। दूसरी सेवा में हस्ताक्षर करने का अधिकार सीमित है लेकिन वह अप्रतिबंधित वास्तविक प्राप्तकर्ताओं को भेज सकती है। सबसे पहले हस्ताक्षर-अनुमति समीक्षा की आवश्यकता है; दूसरे को प्राप्तकर्ता नियंत्रण की आवश्यकता है। एक परीक्षण-डोमेन लेबल किसी भी अनुमति अंतर को हल नहीं कर सकता है।
ये काल्पनिक अनुमति निष्कर्ष हैं, निष्पादित गार्ड या प्लेटफ़ॉर्म ऑडिट नहीं। अनुमोदित पहचान और प्राप्तकर्ताओं को रिकॉर्ड करें, फिर अधिकृत कॉन्फ़िगरेशन साक्ष्य और सीमित परीक्षणों के माध्यम से प्रवर्तन को सत्यापित करें। एक स्प्रेडशीट बेमेल को उजागर कर सकती है लेकिन किसी संदेश को रोक नहीं सकती। जहां नियंत्रण अनुपलब्ध हैं, वहां केवल नामकरण से अलगाव की घोषणा करने के बजाय एक स्पष्ट पकड़ या संकीर्ण रूप से स्वीकृत विकल्प बनाए रखें।
छिपी हुई स्थिति के बजाय समीक्षा की गई कॉन्फ़िगरेशन को बढ़ावा दें
प्रत्येक परिवेश के लिए इच्छित कॉन्फ़िगरेशन और सटीक अंतर संग्रहीत करें। जो प्रचारित किया गया है उसकी समीक्षा करने के लिए NIST के आधारभूत और परिवर्तन-नियंत्रण सिद्धांतों का उपयोग करें। एसपी 800-128. रिकॉर्ड निर्भरताएँ जो सभी परिवेशों में समान नहीं हो सकतीं, जैसे सार्वजनिक DNS नाम, चयनकर्ता और प्रमाणपत्र पहचान।
सुरक्षित वातावरण में उम्मीदवार का परीक्षण करें, फिर उत्पादन परिनियोजन के लिए आवश्यक अनुमोदन प्राप्त करें। स्टेजिंग टेस्ट पास करने से उत्पादन DNS , अनुमतियाँ या रूट व्यवहार साबित नहीं होता है। अधिकृत प्राप्तकर्ताओं के साथ उत्पादन का सत्यापन करें और कार्यान्वयन के बाद एक सीमित परीक्षण करें। यदि परीक्षण के तहत वातावरण बदलता है, तो पुराने परिणामों को वर्तमान अनुमोदन के रूप में मानने के बजाय बेसलाइन को फिर से स्थापित करें।
साक्ष्य और पहुंच को अलग रखें
पर्यावरण लेबल और टाइमस्टैम्प के साथ अलग-अलग परीक्षण साक्ष्य रखें। जब आवश्यक न हो तो वास्तविक प्राप्तकर्ता डेटा को संशोधित करें और वास्तविक ग्राहक संदेशों को परीक्षण फिक्स्चर के रूप में उपयोग करने से बचें। उत्पादन DNS संपादित करने, हस्ताक्षर पहचान निर्दिष्ट करने और प्राप्तकर्ता नियंत्रण को जिम्मेदार ऑपरेटरों को बदलने की क्षमता को प्रतिबंधित करें।
साझा निर्भरताओं की समय-समय पर समीक्षा करें। यदि परीक्षण और उत्पादन को रिले या प्रदाता खाता साझा करना होगा, तो पहचान और प्राप्तकर्ता के उपयोग को सीमित करने वाले वास्तविक नियंत्रणों का दस्तावेजीकरण करें। परीक्षण क्लीनअप से अलग उत्पादन के लिए रोलबैक को परिभाषित करें। परीक्षण चयनकर्ता को हटाना केवल यह पुष्टि करने के बाद ही सुरक्षित है कि कोई भी उत्पादन स्ट्रीम उस पर निर्भर नहीं है; अकेले नाम उस निर्भरता को स्थापित नहीं कर सकते।