Domain inventaris berdasarkan server dan aplikasi
Otentikasi SocketLabs harus ditinjau untuk server atau sub-akun yang benar-benar mengirimkan pesan. Mulailah dengan daftar aplikasi, terlihat Dari domain dan konfigurasi SocketLabs yang digunakan setiap aplikasi. Sertakan subdomain Dari, merek pelanggan, dan rute cadangan yang berbeda. Satu merek yang berfungsi tidak cukup sebagai bukti untuk server yang mengirimkan atas nama beberapa organisasi.
Penyedia memerlukan domain pengirim terverifikasi dan mendokumentasikan kesalahan ketika alamat tidak diizinkan. Ini mendukung verifikasi kepemilikan melalui proses konfirmasi alamat atau fitur otentikasi DNS yang memenuhi syarat, sambil memperhatikan bahwa konfigurasi dan rencana akun memengaruhi penerapan kontrol domain pengirim. SocketLabs Mengirim Domain, Menambah dan Memverifikasi Domain Pengirim.
Pisahkan izin untuk mengirimkan dari otentikasi pada penerima. Sebuah domain mungkin diizinkan untuk dikirim tanpa domain pelanggan yang diinginkan DKIM atau amplop identitas yang digunakan. Catat ini sebagai pemeriksaan independen dan dapatkan izin pemilik domain sebelum mengotorisasi identitas pelanggan atau mitra.
Pilih metode DKIM dengan pemilik kunci
SocketLabs mendokumentasikan tiga metode: kunci TXT yang disediakan pelanggan, kunci TXT yang dihasilkan penyedia, dan kunci TXT yang dikelola penyedia CNAME. Pilihannya mengubah siapa yang mengelola kunci dan cara pemeliharaannya di seluruh server. Ikhtisarnya saat ini mengatakan bahwa penandatanganan memerlukan kecocokan dengan identitas Dari. Ikhtisar SocketLabs DKIM , tiga metode penandatanganan.
Catat keputusan sebelum pekerjaan DNS dimulai. Untuk metode yang dikelola penyedia, identifikasi siapa yang dapat mengubah konfigurasi penandatanganan. Untuk metode yang dikontrol pelanggan, identifikasikan penjaga kunci pribadi dan proses rotasi yang disetujui. Spreadsheet yang penuh dengan kunci bukanlah catatan kepemilikan yang dapat diterima. Lembar kerja harus memuat referensi bukti dan penanggung jawab, bukan materi rahasia.
Jangan secara otomatis memilih metode yang paling rumit karena ini memberikan lebih banyak kontrol. Lebih memilih pendekatan yang didukung yang memenuhi persyaratan organisasi dan dapat dipertahankan oleh operator sebenarnya. Jika kebijakan memerlukan pengaturan manajemen kunci tertentu atau identitas penandatanganan yang tidak biasa, dapatkan konfirmasi penyedia sebelum menyajikan konfigurasi sebagai didukung.
Konfigurasikan metode penandatanganan yang dipilih
Untuk penandatanganan CNAME , panduan resmi menjelaskan satu catatan DNS yang didelegasikan dan verifikasi sisi akun sebelum mengaktifkan fitur tersebut. Panduan CNAME mencantumkan dkim. _domainkey di bawah domain pengirim yang menunjuk ke dkim._domainkey.email-od.com . Bandingkan pasangan yang didokumentasikan publik dengan instruksi rekening saat ini; jangan menimpa yang ditempati pemilih hanya karena contohnya cocok dengan namanya. Jika host DNS tidak dapat mendukung garis bawah yang diperlukan pada pemilik CNAME , panduan ini mengarahkan pengguna ke pendekatan TXT daripada ejaan yang dibuat-buat. Panduan penandatanganan SocketLabs CNAME.
Periksa apakah pemilik pemilih yang dituju sudah digunakan oleh layanan lain. CNAME tidak dapat ditempelkan dengan aman ke pemilih yang tidak terkait. Mintalah alternatif yang didukung atau migrasi yang disetujui. Pertahankan catatan yang ada, layanan yang bergantung padanya, dan keputusan perubahan dalam tiket implementasi.
Panduan TXT membedakan pembuatan kunci di platform dengan pembuatan pasangan kunci. Ini memerlukan kunci publik di DNS dan memverifikasi kunci tersebut sebelum menyimpan pengaturan yang relevan. Alur kunci yang dihasilkan mempertahankan komponen privatnya di akun. Panduan penandatanganan SocketLabs TXT.
Gunakan alur kerja penanganan rahasia yang disetujui jika metode yang dipilih melibatkan impor materi pribadi. Publikasikan hanya kunci publik. Catat domain dan pemilih yang tepat dan periksa nilai TXT logis yang dihasilkan setelah pemisahan string editor DNS. Panduan kunci yang dihasilkan menyatakan bahwa kunci publik tidak lagi tersedia di portal setelah publikasi dan penyimpanan DNS berhasil. Pertahankan catatan publik dan asalnya sebelum menutup tiket penyiapan, tanpa menyimpan kunci pribadi dalam paket tinjauan.
Konfigurasikan domain pentalan sebagai pemetaan terpisah
SocketLabs mengimplementasikan domain pelanggan SPF melalui model domain pentalan khusus tanpa memerlukan penambahan pada domain terlihat-Dari yang sudah ada Catatan SPF. Panduannya menentukan CNAME dari subdomain pentalan yang dipilih ke tracking.socketlabs.com . Beberapa entri pentalan dapat dikonfigurasi; email yang tidak cocok menggunakan default yang dipilih atau cadangan penyedia. Panduan pentalan khusus SocketLabs, Penyiapan, dan Beberapa Domain Pentalan Khusus.
Pilih nama yang tidak digunakan dengan administrator DNS dan konfirmasikan pemetaan yang didukung di server sebenarnya. Jaga agar konfigurasi email masuk biasa domain tetap utuh. Nama host pentalan adalah identitas pengiriman aplikasi dan berbeda dengan kotak pesan balasan pengguna atau titik akhir pelacakan situs web.
Catat kecocokan yang diinginkan untuk setiap domain Dari, lalu catat perilaku defaultnya. Defaultnya memerlukan tinjauan bisnis yang eksplisit pada server multi-merek: pengiriman yang berhasil masih dapat mengungkap identitas merek atau penyedia yang tidak terduga. Jangan menyimpulkan pemetaan aktif hanya dari nama di konfigurasi. Yang dipancarkan Return-Path adalah bukti untuk dibandingkan nanti.
Publikasikan dan bandingkan catatan publik
Ekspor catatan DNS yang relevan sebelum melakukan perubahan yang disetujui. Konfirmasikan layanan resmi dan penanganan nama relatif oleh editor DNS . Periksa setiap pemilik yang dipublikasikan secara independen, termasuk rantai CNAME atau jawaban TXT nya. Data DKIM yang benar tidak membuktikan bahwa nama pentalan telah dikonfigurasi, dan data pentalan yang benar tidak membuktikan penandatanganan DKIM aktif.
SPF dievaluasi menggunakan identitas amplop SMTP , bukan sekadar Dari yang terlihat. Jika layanan lain masih memerlukan kebijakan SPF domain root, pertahankan layanan tersebut. Di pemilik mana pun yang memerlukan kebijakan SPF , pertahankan satu kebijakan dan periksa batas jangka waktu kueri DNS protokol. RFC 7208 , bagian 2.4, 4.5 dan 4.6.4.
Tunggu jawaban otoritatif dan rekursif yang konsisten yang melibatkan cache. Jika penyedia tidak dapat memverifikasi sebuah rekor, simpan nilai yang dikeluarkan dan observasi DNS berwaktu untuk dukungan daripada berulang kali mengubah nama. Batasan host DNS harus ditangani melalui metode pendukung yang terdokumentasi.
Uji setiap pencocokan Dari domain dan pentalan yang tepat
Kirim konten yang tidak berbahaya melalui setiap aplikasi material dan server ke penerima eksternal yang dikontrol. Pertahankan waktu, ID Pesan, dan referensi peristiwa penyedia atau aplikasi. Uji Dari subdomain secara terpisah daripada mengasumsikan entri untuk domain induk mencakup subdomain tersebut.
Halaman CNAME lama menyebutkan PRA dan Pengirim dalam deskripsi penerapannya, sedangkan ikhtisar saat ini dan halaman TXT menjelaskan pencocokan Dari yang tepat. Jika aplikasi menggunakan header Pengirim terpisah atau identitas tidak biasa lainnya, dapatkan klarifikasi dan uji formulir persisnya. Jangan diam-diam menerjemahkan pernyataan-pernyataan yang berbeda tersebut ke dalam aturan universal.
Di penerima, catatan Terlihat Dari, Return-Path , identitas dan hasil SPF tepercaya, setiap hari dan hari DKIM , dan DMARC hasil. Verifikasi DKIM menggunakan domain dan pemilih pada tanda tangan sebenarnya untuk menemukan kunci publik. RFC 6376 , bagian 3.5 dan 6.1.
Bandingkan setiap identitas yang lewat dengan yang terlihat Dari bawah yang berlaku penyelarasan mode. Subdomain pentalan khusus mungkin memenuhi penyelarasan SPF yang longgar tanpa memenuhi kesetaraan yang ketat. Sebuah passing yang selaras tanda tangan DKIM dapat secara mandiri memuaskan DMARC . Baik verifikasi domain yang berhasil maupun sandi autentikasi domain penyedia tidak cukup untuk menyimpulkan hasil keseluruhan. RFC 9989 , Penjelasan Penyelarasan Pengidentifikasi dan Evaluasi DMARC.
Diagnosis lapisan yang gagal
Untuk kesalahan pengirim yang tidak diizinkan, periksa verifikasi dan kontrol domain server yang benar sebelum mengubah kunci DNS . Untuk domain penandatanganan yang tidak terduga, bandingkan Dari dengan entri DKIM yang dikonfigurasi. Untuk Return-Path yang tidak terduga, periksa kecocokan pentalan dan default. Pisahkan pemeriksaan ini sehingga perbaikan pada salah satu pemeriksaan tidak menyembunyikan masalah pada pemeriksaan lainnya.
Jika verifikasi kriptografi gagal meskipun DNS sudah benar, selidiki perubahan pada konten atau header yang ditandatangani di sepanjang jalur. Jika autentikasi dan penyelarasan berhasil, namun penempatan kotak masuk buruk, selidiki pemfilteran penerima, reputasi, dan tujuan pesan. Otentikasi tidak menjanjikan pengiriman atau membuat setiap penggunaan akun resmi menjadi sah.
Rekam pemulihan sebelum rilis
Lengkapi lembar kerja domain dan server SocketLabs (buat catatan tinjauan terpisah dengan bidang yang dijelaskan di sini). Simpan matriks izin rute demi rute, metode penandatanganan, pemetaan pentalan, dan bukti yang diterima. Identifikasi siapa yang dapat menjeda aplikasi atau memulihkan konfigurasi server yang sebelumnya disetujui jika pengujian gagal.
Jangan menghapus kunci publik lama atau catatan pentalan saat pesan dalam antrean atau server lain bergantung padanya. Rencanakan penghentian dengan pemilik aplikasi dan uji ulang setelah perubahan pada domain Dari, server, metode kunci, default pentalan, atau penyedia DNS .
Kasus diagnostik fiktif yang melibatkan entri pentalan default
Hanya kasus tertulis fiktif: SOCK-01 mengasumsikan satu server mengirim Dari news@alpha.example dengan envelope bounces.alpha.example dan hasil SPF yang lewat. Rute kedua menggunakan Dari news@beta.example tetapi kembali ke bounces.alpha.example , juga dengan izin SPF . Di bawah penyelarasan yang santai, amplop yang ditentukan pertama akan sejajar; yang kedua tidak. Kedua hasil DKIM tidak diketahui, sehingga tidak ada klaim kegagalan pesan kedua atau perbaikan yang berhasil. Pemilik server harus menyetujui dan memverifikasi pemetaan beta, lalu memeriksa Return-Path dan DKIM yang dipancarkannya. Tidak ada pengujian server, DNS , atau pesan yang dilakukan.
Penerimaan masih menunggu keputusan
Terima rute ketika server yang dituju mengizinkan domain, metode penandatanganan yang dipilih memverifikasi, setiap pemetaan pentalan berperilaku seperti yang disetujui dan bukti penerima menetapkan jalur selaras yang diperlukan. Penerimaan cakupan asli, penyewa langsung dan pemeriksaan DNS , tinjauan teknis independen, tinjauan visual, dan persetujuan UKM manusia masih tertunda untuk draf yang belum dipublikasikan ini.
Pisahkan pesan yang lewat dari kesiapan penegakan
RFC 9989 Bagian 7.4 memerlukan DKIM yang valid untuk penerbitan domain p=reject dan peringatan tentang interoperabilitas surat tidak langsung. Satu hasil SPF yang selaras tidak dengan sendirinya membenarkan penerapan kebijakan penolakan. Tinjau semua rute dan kepemilikan kebijakan yang sah secara terpisah dari pengaturan penyedia ini.