Pemberitahuan tender mungkin asli namun berisi perubahan detail bank yang tidak sah setelah akun disusupi. Otentikasi membantu mengevaluasi identitas domain. Kewenangan pengadaan berasal dari proses yang disetujui dan orang-orang yang bertanggung jawab. Rancanglah kedua pemeriksaan tersebut untuk memperkuat satu sama lain tanpa membiarkan yang satu menggantikan yang lain.
Memetakan pemberitahuan ke catatan pengadaan
Untuk publikasi tender, pemberitahuan pemasok dan pengadaan yang didelegasikan, catat sistem pencatatan, pengidentifikasi pemberitahuan, pengirim yang disetujui dan peran kontrak yang bertanggung jawab. Pemberitahuan tersebut harus membantu pemasok menemukan catatan pengadaan yang sah melalui saluran yang diketahui. Hindari memperlakukan tautan dalam pesan yang tidak terduga sebagai verifikasi independen atas pesan yang sama.
Catat penyewa aplikasi, Dari domain, domain amplop, DKIM domain dan pemilih untuk setiap rute. Portal pengadaan yang dialihdayakan mungkin memiliki infrastruktur pengiriman terpisah dari surat staf otoritas. Footer bermerek atau alamat Balas Ke tidak membentuk jalur autentikasi yang selaras. Simpan penanganan balasan di peta rute karena pemberitahuan asli dapat mengarahkan balasan ke kotak surat operasional yang berbeda.
Simpan perubahan-perubahan penting di belakang persetujuan mereka sendiri
Klasifikasikan pemberitahuan berdasarkan apa yang mereka minta agar penerimanya lakukan. Pengumuman tender terbuka, perubahan tenggat waktu, komunikasi pemberian penghargaan, dan permintaan rincian pembayaran mempunyai konsekuensi operasional yang berbeda. Panduan ini merekomendasikan verifikasi pengadaan dan keuangan secara terpisah untuk perubahan sensitif pada pemasok atau bank menggunakan catatan kontak yang ada, bukan nomor telepon yang diberikan dalam email yang disengketakan.
DMARC tidak memeriksa persyaratan tender atau menentukan siapa yang menyetujui suatu penghargaan. Tanda tangan yang lewat juga tidak menyatakan bahwa rekening bank adalah milik pemasok yang dituju. Menyimpan wewenang perubahan, catatan yang disetujui, dan hasil verifikasi independen dalam sistem pengadaan. Ini adalah rekomendasi alur kerja, bukan pernyataan undang-undang pengadaan di yurisdiksi mana pun.
Uji pengirim yang didelegasikan sebelum batas waktu
Jalankan sampel yang disetujui untuk pemberitahuan awal, amandemen, dan pembatalan, dengan detail tender fiktif. Konfirmasikan identitas Dari yang dimaksud, hasil tanda tangan, berlaku penyelarasan, balas tujuan dan akses berhasil ke catatan resmi. Tes tanda tangan tidak dapat membuktikan bahwa pemberitahuan tersebut tiba sebelum batas waktu yang sah. Simpan bukti pengiriman dan publikasi yang relevan secara terpisah.
Jika kontraktor mengubah platform selama tender aktif, pertahankan rute lama sampai peralihan yang disetujui dan penanganan antrian dipahami. Tetapkan pemilik untuk pemberitahuan yang gagal dan proses pemberitahuan alternatif yang terdokumentasi. Jangan mengirimkan ulang pemberitahuan secara diam-diam melalui identitas baru karena integrasi gagal. Perubahan seperti itu dapat membingungkan pemasok dan harus ditangani berdasarkan proses komunikasi yang disetujui oleh tim pengadaan.
Menilai kembali batasan yang dihadapi pemasok
Tinjau laporan berdasarkan layanan pengadaan, tidak hanya seluruh volume surat total departemen. Agregat yang tampaknya sehat dapat menyembunyikan pengirim perubahan bervolume rendah. Tingkatkan domain penandatanganan yang tidak terduga, tujuan Balas-Ke baru, dan akun vendor yang tidak dimiliki. Sebelum menghentikan domain atau pemilih, tentukan catatan tender dan pemberitahuan berulang mana yang masih bergantung padanya. Bukti autentikasi ditempatkan di samping, bukan sebagai pengganti, catatan audit pengadaan.
Kerjakan tiga catatan rute tertulis
Contoh domain, penyeleksi, peran, dan lokasi DKIM yang dicadangkan ini bersifat fiktif. Tidak ada pesan bertanda tangan, kunci, verifikasi kriptografi, pencarian DNS , transaksi SMTP , atau pengujian layanan langsung yang diberikan atau dijalankan untuk kasus ini. Tidak diperlukan kode pengujian atau spesimen eksternal untuk memeriksa alasan di bawah ini.
- publikasi tender: terlihat Dari domain tenders.civic.example ; DKIM d=tenders.civic.example; demo pemilih1; menganggap DKIM lulus hanya untuk kasus tertulis ini. SPF KIRIM DARI identitas dan hasil tidak diketahui; tanda tangan lainnya tidak diketahui; penemuan dan penyampaian kebijakan sebenarnya tidak diketahui. Pemilik yang diusulkan: Pimpinan pengadaan. Tindakan selanjutnya: Dapatkan sampel resmi dan hasil penerima tepercaya untuk penyewa ini.
- pemberitahuan pemasok: terlihat Dari domain suppliers.civic.example ; DKIM d=suppliers.civic.example; demo pemilih2; menganggap DKIM lulus hanya untuk kasus tertulis ini. SPF MAIL DARI identitas dan hasil tidak diketahui; tanda tangan lainnya tidak diketahui; penemuan dan penyampaian kebijakan sebenarnya tidak diketahui. Pemilik yang diusulkan: Pemilik komunikasi pemasok. Tindakan selanjutnya: Konfirmasikan rute terpisah ini dan peristiwa bisnisnya daripada mewarisi hasil rute pertama.
- pengadaan yang didelegasikan: terlihat Dari domain contracts.civic.example ; DKIM d=provider.example.net; demo pemilih3; menganggap DKIM lulus hanya untuk kasus tertulis ini. SPF MAIL DARI identitas dan hasil tidak diketahui; tanda tangan lainnya tidak diketahui; penemuan dan penyampaian kebijakan sebenarnya tidak diketahui. Pemilik yang diusulkan: Otoritas kontrak. Tindakan selanjutnya: Tanyakan kepada pemasok terverifikasi tentang jalur penandatanganan selaras yang didukung penyewa ini; tidak memperluas otorisasi ke seluruh jaringannya.
Untuk dua tanda tangan pertama yang ditetapkan, d= sama persis dengan domain Dari, sehingga pengidentifikasinya memenuhi perataan ketat dan santai. Mengingat keberhasilan hasil DKIM yang ditetapkan, terdapat jalur autentikasi yang selaras untuk pesan hipotetis tersebut. Penanda tangan ketiga sengaja tidak terkait dengan domain penulis dan tidak dapat menyediakan jalur yang selaras tersebut. Jangan menyebut pesan ketiga sebagai kegagalan DMARC : SPF yang selaras atau penerusan selaras lainnya tanda tangan DKIM masih dapat memenuhi mekanisme tersebut, dan masukannya tidak diketahui. Jangan menyimpulkan penerapan sebenarnya atau penempatan kotak masuk dari baris mana pun.
Tanda tangan kriptografi mengautentikasi tanggung jawab domain penandatanganan, bukan kebenaran atau otorisasi setiap instruksi. Perubahan pada byte yang dikanonikalisasi dapat membuat tanda tangan menjadi tidak valid; tidak setiap pengeditan yang terlihat mengubah masukan yang ditandatangani. Otentikasi dan penerimaan tingkat aplikasi tetap terpisah.
Gunakan kartu penerimaan khusus pemberitahuan
Untuk tender fiksi T-01 amandemen versi 2, memerlukan versi catatan yang disetujui, peran kontrak resmi, Dari identitas, tujuan balasan, waktu publikasi, dan bukti pemberitahuan penerima. Jika otentikasi lolos tetapi catatan resmi tetap versi 1, hentikan dan rekonsiliasi amandemen dengan pengadaan; jangan beri label disetujui. Jika catatan benar tetapi pemberitahuan gagal, aktifkan proses pemberitahuan alternatif yang telah disetujui dan simpan bukti waktunya. Penerima manfaat yang diubah akan memicu proses verifikasi keuangan terpisah, apa pun hasilnya. Ini adalah keputusan yang diusulkan, bukan persyaratan undang-undang pengadaan atau pengujian yang telah selesai.
Terapkan standar tanpa mengklaim kepatuhan
RFC 9989 Bagian 4.4 dan 5.3.5 mendukung keselarasan dan pembedaan mekanisme. Bagian 7.4 memperingatkan tentang interoperabilitas surat tidak langsung: penggunaan domain p=reject harus menggunakan DKIM yang valid, bukan SPF saja, dan penggunaan milis untuk tujuan umum memerlukan perhatian khusus. Inventaris rute itu sendiri bukanlah izin untuk menerapkan penolakan. RFC 6376 Bagian 3.4–3.7 dan 6.1 jelaskan masukan dan verifikasi yang ditandatangani. RFC 9990 Bagian 3.1 memberikan konteks pelaporan, bukan bukti kedatangan per penerima. RFC 5321 Bagian 4.2.5 membedakan tanggung jawab penerimaan server dari hasil pengiriman selanjutnya. Pilihan alur kerja sektor di sini adalah rekomendasi editorial; ruang lingkup hukum, kesesuaian faktor dan otorisasi lokal memerlukan tinjauan yang dapat dipertanggungjawabkan.