Batasi instruksi pada penandatanganan SpamTitan Gateway
TitanHQ menerbitkan Konfigurasi tertentu DKIM dalam prosedur SpamTitan Gateway. Artikel ini mengikuti batasan produk tersebut. Hal ini tidak mengasumsikan bahwa SpamTitan Cloud, Skellig, penerapan masuk saja, atau setiap edisi layanan terkelola memperlihatkan kontrol yang sama. Konfirmasikan versi yang diinstal, kemampuan berlisensi, dan rute keluar sebenarnya sebelum menyetujui perubahan penandatanganan. Domain yang terdaftar untuk menerima email tidak dengan sendirinya merupakan bukti bahwa pesan keluar melintasi gateway atau menerima tanda tangan domain pelanggan.
Itu Prosedur gerbang berisi langkah-langkah penandatanganan DKIM dan diskusi catatan kebijakan DomainKeys lama yang terpisah. Campuran tersebut merupakan batasan implementasi yang penting. Alur kerja kunci tanda tangan modern dapat dijelaskan dari sumbernya, namun langkah kebijakan lama memerlukan konfirmasi produk saat ini. Jangan diam-diam mengubah terminologi DomainKeys lama menjadi a DMARC persyaratan atau klaim bahwa penerbitan kebijakan o= menetapkan perlindungan domain modern.
Identifikasi relai domain dan kepemilikan kunci
Navigasi yang didokumentasikan adalah System Setup, Mail Relay, DKIM . Halaman ini berisi daftar relay domain. Edit domain yang dituju dan buka tab DOMAIN KEY. Prosedurnya meminta a pemilih nama yang membedakan kunci ini dari kunci domain lainnya. Pilih label melalui proses penamaan yang disetujui organisasi dan periksa penggunaan yang ada sebelum menerbitkannya. Label yang dapat diprediksi bukanlah rahasia, namun menggunakan kembali pemilih yang terisi dapat menimpa ketergantungan yang masih dibutuhkan pengirim lain.
Sumber ini menjelaskan pembuatan pasangan kunci baru dan juga menawarkan bidang kunci pribadi yang sudah ada. Panduan ini tidak meminta, mengumpulkan, atau merekomendasikan penyalinan kunci pribadi ke dalam tiket atau dokumen bersama. Pembuatan atau impor kunci adalah tindakan administratif resmi yang terpisah. Panduan ini mencantumkan 1024-bit dan 2048-bit pilihan dan merekomendasikan pilihan yang lebih panjang. Konfirmasikan konfigurasi yang didukung dan persyaratan kriptografi saat ini untuk produk yang diterapkan; jangan menurunkan versi hanya karena editor DNS menampilkan nilai publik yang panjang dengan tidak nyaman.
Publikasikan kunci publik yang dihasilkan tanpa menyalin contoh
Setelah Hasilkan, sumber mengarahkan administrator ke tab OPTIONS dan materi DNS TXT . Publikasikan kunci publik sebenarnya pada nama yang dibentuk dari pemilih yang dipilih, _domainkey dan domain penandatanganan. Kunci publik besar yang dicetak dalam dokumentasi adalah sebuah ilustrasi, bukan catatan yang dapat digunakan kembali. Catat pemilik yang dipilih dan referensi terkontrol ke nilai publik yang dikeluarkan dalam permintaan perubahan. Tidak ada materi pribadi yang termasuk dalam DNS publik.
TitanHQ membahas penghapusan format asing dari tampilan yang disalin. Tafsirkan ini sebagai penanganan presentasi editor, bukan pengeditan byte kunci secara sembarangan. RFC 6376 , bagian 3.6.2.2 menentukan catatan sumber daya TXT untuk penyimpanan kunci. Alat DNS dapat menampilkan beberapa string yang dikutip dalam satu catatan TXT; yang berbeda dari beberapa catatan yang bersaing atau tanda kutip literal yang dimasukkan ke dalam nilai. Minta administrator DNS memverifikasi catatan logis aktual dan nama pemilik lengkap daripada menerima tangkapan layar kotak masukan sebagai bukti akhir.
Pisahkan kebijakan lama dan mode pengujian dari DMARC
Prosedur penyedia juga menjelaskan data TXT di _domainkey diikuti oleh domain, dengan nilai o=- atau o=~ , di bawah Catatan Kebijakan. Ini secara eksplisit menyebut kebijakan DomainKeys ini. Ini bukan lokasi kebijakan DMARC dan bukan pengganti kunci publik pemilih DKIM . Karena prosedur ini menggabungkan elemen historis ini, konfirmasikan apakah langkah kebijakan tersebut berlaku untuk versi Gateway saat ini sebelum menambahkannya. Pertahankan pertanyaan yang belum terselesaikan dalam catatan rilis daripada menciptakan persyaratan modern.
Panduan ini secara terpisah menjelaskan tanda pengujian DKIM , t=y, dalam rekaman kunci. Jangan bingung dengan instruksi untuk menempatkan penerapan DMARC ke mode pengujian atau dengan bukti bahwa penerima akan menerima semua email. Penanganan DKIM , DMARC , dan penerima lokal memiliki semantik yang berbeda. RFC 9989 , bagian 4.4 menjelaskan penyelarasan diperlukan antara identitas autentikasi yang lewat dan domain penulis. Pernyataan kebijakan lama bahwa email ditandatangani tidak menetapkan bahwa tanda tangan tertentu divalidasi atau diselaraskan.
Verifikasi sebelum mengaktifkan dan rencanakan rotasi dengan sengaja
Alur kerja OPTIONS TitanHQ menggunakan Verifikasi untuk mengambil data TXT DNS dan membandingkannya dengan informasi konfigurasi gateway. Setelah verifikasi berhasil, Aktifkan akan mengaktifkan penandatanganan DKIM untuk domain tersebut. Perlakukan ini sebagai pos pemeriksaan terpisah. Kunci yang diterbitkan tidak membuktikan penandatanganan diaktifkan, sementara opsi penandatanganan yang dipilih tidak dapat memvalidasi rekaman publik yang hilang atau tidak cocok. Pertahankan hasil verifikasi dan waktunya tanpa menggambarkannya sebagai tes penerimaan penerima.
Dokumentasi merekomendasikan rotasi kunci secara berkala. Rencana rotasi praktis memerlukan lebih dari sekadar interval kalender: mengidentifikasi penyeleksi aktif, kunci yang dihasilkan, pesan antrean, cache DNS , operator resmi, dan kondisi rollback. Jangan menghapus catatan publik sebelumnya hanya karena kunci pengganti telah dibuat. Tentukan apa yang tumpang tindih dengan kebutuhan jalur surat sebenarnya, dan simpan bukti yang mendukung keputusan tersebut. Naskah ini belum mengukur masa pakai antrian atau menguji perilaku transisi produk yang diinstal, sehingga detail implementasi tersebut tetap terbuka.
Periksa pesan keluar terakhir, bukan label pemfilteran
Latihan penerimaan yang diotorisasi secara terpisah harus membedakan transit gateway, penandatanganan, validasi, dan penyelarasan. Tinjau bidang d= dan s= tanda tangan, domain penulis yang terlihat, dan hasil autentikasi penerima tepercaya. RFC 6376 , bagian 3.5 mendefinisikan bidang tanda tangan. Periksa kelas pesan yang mungkin mengambil jalur berbeda, seperti surat kotak surat biasa, pemberitahuan aplikasi, dan lalu lintas yang diteruskan. Fakta bahwa pesan masuk dipindai oleh SpamTitan tidak menjelaskan secara pasti tentang bagaimana pesan aplikasi keluar ditandatangani.
SPF adalah ulasan terpisah. RFC 7208 , bagian 2.4 dan 4.6.4 jelaskan itu KIRIM DARI batas evaluasi yang bergantung pada identitas dan DNS. Sumber ini tidak menyediakan penyertaan SPF keluar universal untuk setiap penerapan SpamTitan, jadi tidak ada yang ditemukan di sini. Dapatkan infrastruktur pengirim resmi yang sebenarnya dan tinjau satu kebijakan lengkap untuk identitas tersebut. Keberhasilan autentikasi berbeda dengan penempatan kotak masuk, keamanan konten, atau persetujuan penerima atas permintaan pembayaran.
Diagnosis fiktif dan lembar kerja penerimaan kosong
Sebuah perusahaan teknik fiksi, Alder Instruments, menerbitkan kunci pemilih baru tetapi membiarkan penandatanganan dinonaktifkan sambil menunggu jendela pemeliharaan. Checklist internalnya menandai DKIM selesai karena Verifikasi berhasil. Tinjauan selanjutnya menemukan bahwa daftar periksa tersebut menggabungkan perjanjian DNS dengan penandatanganan aktif. Koreksi yang diusulkan adalah memisahkan persetujuan untuk mengaktifkan, status konfigurasi yang diamati, dan bukti penerima di masa mendatang. Ini bukan untuk mempublikasikan kunci contoh dokumentasi atau menambahkan catatan kebijakan lama sebagai penggantinya. Tidak ada pencarian sistem, pesan, atau DNS aktual yang mendasari skenario ini.
- Produk gateway, versi, rute keluar, dan relai domain: ______
- Kepemilikan pemilih dan ketergantungan yang ada: ______
- Referensi pemilik/nilai publik yang dihasilkan dan perubahan DNS yang disetujui: ______
- Keputusan penyimpanan kunci pribadi, tanpa materi rahasia: ______
- Keputusan penerapan kebijakan DomainKeys lama: ______
- Verifikasi hasil dan selanjutnya Aktifkan persetujuan/status: ______
- Rotasi tumpang tindih, rollback, dan retensi pemilih sebelumnya: ______
- Tanda tangan pesan yang diterima dan bukti penyelarasan yang tepercaya: ______
- Pengecualian yang tersisa, pengulas dan pemilik rilis: ______
Bukti implementasi asli, penerapan sumber terkini, tinjauan subjek oleh manusia, penerimaan jalur produksi, aksesibilitas visual, dan pelepasan pemilik tetap terbuka. Tidak ada kunci yang dibuat, pengaturan diubah, catatan DNS diterbitkan atau pesan terkirim. Persyaratan penerapan katalog yang lebih luas tidak dapat dianggap lengkap hanya dengan alur kerja dokumenter ini.