Mulailah dengan identitas yang akan diperiksa oleh penerima
Perubahan otentikasi email dimulai dengan nama, sebuah rekor tipe dan operator yang bertanggung jawab. “Tambahkan autentikasi ke domain kami” terlalu luas untuk mengidentifikasi editor DNS yang benar atau jawaban yang dibutuhkan penerima. Layanan pemasaran dapat menandatangani dengan satu domain, menggunakan domain lain untuk amplop SMTP -nya, dan menampilkan domain ketiga di bidang Dari. Inventaris harus mempertahankan perbedaan tersebut sebelum siapa pun mengedit suatu zona.
Untuk SPF, dapatkan domain yang digunakan oleh SMTP KIRIM DARI identitas; itu Identitas HELO memiliki pemeriksaannya sendiri, termasuk kasus jalur balik nol. Kueri domain yang berlaku untuk TXT . Jangan memilih pemilik SPF hanya dengan membaca alamat Dari yang terlihat. RFC 7208 , bagian 2.3–2.4 dan 3.1.
Untuk DKIM, ambil pemilih dari s= dan domain penandatanganan dari d= di tanda tangan. Nama pencarian kuncinya adalah pemilih _domainkey, lalu domain penandatanganan. Untuk DMARC, penemuan kebijakan dimulai dengan kueri TXT di bawahnya _dmarc di Domain Penulis dan dapat terus menggunakan yang ditentukan Jalan pohon DNS. Tidak adanya catatan awal tidak dengan sendirinya menunjukkan bahwa tidak ada kebijakan yang berlaku. RFC 6376 , bagian 3.6.2; RFC 9989 , bagian 4.5 dan 4.10.
Pisahkan nama pemilik dari orang yang memiliki kembaliannya
Di DNS , pemilik rekaman adalah nama domain. Dalam tiket ganti, pemiliknya sering kali adalah orang atau tim. Rekam keduanya. Pendaftar domain, host DNS otoritatif, administrator platform pengirim, dan pemilik domain yang menyetujui dapat berasal dari pihak yang berbeda. Akses registrasi bukanlah bukti bahwa konsol DNS tertentu mengontrol jawaban publik saat ini.
Identifikasi server otoritatif yang didelegasikan untuk zona yang berisi nama yang diminta. Subdomain mungkin memiliki delegasinya sendiri, sehingga editor yang benar mungkin berbeda dari editor domain induk. Simpan zona, nama lengkap pemilik, jenis yang diminta, data yang diusulkan, dan operator yang bertanggung jawab. Delegasi DNS menentukan di mana otoritas berubah; itu tidak mengikuti batasan tim pendukung organisasi. RFC 1034 , bagian 4.2 dan 4.2.1.
Minta administrator pengirim untuk memberikan nilai yang dikeluarkan akun dan menjelaskan alias apa pun. Penyedia CNAME instruksi menunjuk suatu nama pada nama lain; ini bukan operasi yang sama dengan mendelegasikan zona anak dengan catatan NS. Tangkap siapa yang mempertahankan target alias serta siapa yang dapat mengubah catatan sisi pelanggan.
Baca kumpulan catatan yang diterbitkan daripada penampilan editor
Konsol DNS sering kali menerima label host relatif dan menambahkan nama zona. Oleh karena itu, salinan nama lengkap yang memenuhi syarat yang dimasukkan dalam mode yang salah dapat jatuh ke pemilik yang tidak diinginkan. Verifikasi nama absolut akhir, termasuk setiap subdomain dan label garis bawah. Nilai yang disimpan editor adalah bukti persiapan; jawaban DNS yang otoritatif adalah bukti publikasi.
Presentasi TXT juga perlu diperhatikan. Satu data sumber daya TXT mungkin berisi beberapa string karakter. Untuk SPF string tersebut digabungkan tanpa menyisipkan spasi. Itu berbeda dengan menerbitkan dua secara terpisah Catatan SPF pada pemilik yang sama, hal ini dilarang. Pertahankan batas catatan saat meninjau ekspor atau tangkapan layar daripada menghitung tanda kutip. RFC 1035 , bagian 3.3.14; RFC 7208 , bagian 3.2–3.3.
data MX mengidentifikasi penukar surat untuk menerima surat. Mereka tidak secara independen membuktikan layanan keluar mana yang diotorisasi atau kunci mana yang menandatangani pesan. Kebijakan SPF dapat merujuk ke MX melalui suatu mekanisme, namun hubungan tersebut harus berasal dari kebijakan sebenarnya, bukan dari asumsi bahwa semua data DNS terkait email mengautentikasi pengiriman. RFC 1035 , bagian 3.3.9; RFC 7208 , bagian 5.4.
Kerjakan inventaris kepemilikan fiktif
Misalkan layanan fiktif mengirim email dengan From news@example.com, KIRIM DARI bounce@mail.example.com, dan sebuah tanda tangan DKIM mengandung d=example.com; s=nov26. Inventaris awal memiliki tiga pertanyaan TXT terpisah: mail.example.com, nov26._domainkey.example.com, Dan _dmarc.example.com. Ini adalah nama dan identitas ilustratif, bukan pesan yang diamati atau nilai produksi yang direkomendasikan.
Administrator email mengonfirmasi rute dan pemilih yang dituju. Administrator DNS memeriksa zona mana yang berisi setiap nama dan apakah ada alias yang diperlukan penyedia yang mengubah jalur pencarian. Pemilik domain menyetujui cakupannya. Jika pemilih dikeluarkan oleh vendor, vendor harus menyimpan kunci privat yang sesuai; hanya materi kunci publik yang termasuk dalam DNS . Kunci pribadi tidak boleh disalin ke dalam tiket atau data TXT publik.
Baris inventaris harus membedakan “diberikan oleh layanan”, “ada dalam DNS otoritatif”, dan “diamati pada email yang diterima”. Membiarkan salah satu kolom tersebut tidak diketahui lebih berguna daripada mencentang satu kotak “diautentikasi” sebelum waktunya.
Kumpulkan bukti sebelum menutup perubahan
Pemeriksaan yang diusulkan adalah gali @AUTH_IP nov26._domainkey.example.com . TXT +tidak ada kutukan Dan gali @RESOLVER_IP nov26._domainkey.example.com . TXT. Ganti placeholder huruf besar dengan titik akhir yang disetujui. Ulangi untuk setiap pemilik sebenarnya dan server otoritatif yang relevan. Simpan waktu UTC, alamat server, pertanyaan, kode respons, tanda, bagian jawaban dan otoritas, TTL, dan rantai alias apa pun. Perintah ini belum dijalankan untuk artikel ini.
Jika otoritas dan rekursi tidak setuju, selidiki konsistensi publikasi, cache, dan jalur penyelesaian sebelum menambahkan catatan duplikat. Jawaban DNS masih tidak dapat membuktikan verifikasi tanda tangan, SPF mengotorisasi IP pengiriman sebenarnya, atau penyelarasan DMARC . Tutup pertanyaan tersebut dengan pesan yang diterima terkontrol dan hasil penerima yang tepercaya. Transkrip otoritatif dan rekursif yang diberi stempel waktu tetap menjadi gerbang bukti asli yang terbuka untuk draf dokumenter ini.