Lingkungan pengujian harus memungkinkan verifikasi perubahan tanpa memberikan otoritas yang tidak perlu atas identitas produksi. Pisahkan lingkungan aplikasi dalam daftar pengirim dan tinjau izin DNS , penandatanganan, relai, dan penerimanya secara independen. Label yang disebut staging bukan merupakan kontrol isolasi ketika menggunakan kredensial produksi atau kunci penandatanganan tidak terbatas yang sama.
Tentukan batas lingkungan
Catat tujuan aplikasi, lingkungan, pemilik, kekritisan, terlihat Dari domain, domain amplop, DKIM identitas penandatanganan, titik akhir, penerima yang disetujui, tes terakhir dan referensi persetujuan. Gunakan identitas layanan dan penyimpanan kredensial yang berbeda jika platform mengizinkan. Jangan menyalin rahasia produksi ke dalam perlengkapan atau contoh dokumentasi.
Subdomain pengujian khusus dapat membantu memisahkan penamaan dan kebijakan, namun hal ini tidak secara otomatis menjadi batas keamanan. DMARC santai penyelarasan dapat menghubungkan domain di tingkat domain organisasi, bergantung pada aturan penemuan dan penyelarasan protokol yang berlaku. Verifikasi perilaku penyelarasan sebenarnya daripada berasumsi bahwa label paling kiri yang berbeda membuat email tidak berhubungan. RFC 9989.
Pisahkan otoritas dari penamaan
Periksa apa yang dapat dilakukan oleh setiap layanan penandatanganan, delegasi DNS , dan aturan relai. Layanan pengujian yang diizinkan untuk menandatangani domain produksi masih dapat menghasilkan email yang selaras dengan produksi. Pengirim percobaan dengan domain khusus masih dapat menjangkau pelanggan sebenarnya jika kontrol penerimanya tidak dibatasi. Otentikasi dan penahanan penerima memecahkan masalah yang berbeda.
Untuk SPF, periksa identitas amplop sebenarnya dan infrastruktur pengiriman resminya. Untuk DKIM , teliti pemilih kepemilikan dan domain penandatanganan, bukan hanya alamat tampilan. RFC 7208 Dan RFC 6376. Perlakukan otoritas bersama sebagai pengecualian eksplisit dengan dampak, pemilik, dan masa berlaku, bukan kenyamanan yang tidak terlihat.
Pisahkan dua kegagalan pementasan
Misalkan layanan pementasan memiliki pengujian khusus Dari domain tetapi kredensial penandatanganannya juga dapat ditandatangani untuk produksi. Layanan kedua telah membatasi otoritas penandatanganan tetapi dapat mengirim ke penerima sebenarnya yang tidak dibatasi. Yang pertama membutuhkan peninjauan izin penandatanganan; yang kedua membutuhkan penahanan penerima. Label domain uji coba tidak dapat mengatasi kesenjangan izin tersebut.
Ini adalah temuan izin hipotetis, bukan audit penjaga atau platform yang dilaksanakan. Catat identitas dan penerima yang disetujui, lalu verifikasi penegakan melalui bukti konfigurasi resmi dan pengujian terbatas. Spreadsheet dapat memperlihatkan ketidakcocokan namun tidak dapat menghentikan pesan. Apabila pengendalian tidak tersedia, pertahankan penangguhan eksplisit atau alternatif yang disetujui secara sempit daripada mendeklarasikan isolasi hanya dengan menyebutkan nama saja.
Promosikan konfigurasi yang ditinjau daripada status tersembunyi
Simpan konfigurasi yang diinginkan dan perbedaan yang tepat untuk setiap lingkungan. Gunakan prinsip dasar dan pengendalian perubahan NIST untuk meninjau apa yang dipromosikan. SP 800-128. Catat dependensi yang tidak bisa sama di seluruh lingkungan, seperti nama DNS publik, pemilih, dan identitas sertifikat.
Uji kandidat di lingkungan yang aman, lalu dapatkan persetujuan yang diperlukan untuk penerapan produksi. Tes pementasan yang lulus tidak membuktikan DNS produksi, izin, atau perilaku rute. Verifikasi produksi dengan penerima resmi dan pengujian terbatas setelah implementasi. Jika lingkungan berubah saat pengujian, tetapkan kembali data dasar alih-alih menganggap hasil yang sudah usang sebagai persetujuan saat ini.
Jaga agar bukti dan akses tetap berbeda
Simpan bukti pengujian terpisah dengan label lingkungan dan stempel waktu. Sunting data penerima sebenarnya jika tidak diperlukan dan hindari penggunaan pesan pelanggan nyata sebagai perlengkapan pengujian. Batasi kemampuan untuk mengedit DNS produksi, menetapkan identitas penandatanganan, dan mengubah kontrol penerima ke operator yang bertanggung jawab.
Tinjau dependensi bersama secara berkala. Jika pengujian dan produksi harus berbagi akun relai atau penyedia, dokumentasikan kontrol sebenarnya yang membatasi penggunaan identitas dan penerima. Tentukan rollback untuk produksi secara terpisah dari pembersihan pengujian. Menghapus pemilih pengujian hanya aman setelah memastikan bahwa tidak ada aliran produksi yang bergantung padanya; nama saja tidak dapat membangun ketergantungan itu.