Un ambiente di test dovrebbe consentire di verificare le modifiche senza concedere autorità non necessarie sulle identità di produzione. Separa gli ambienti applicativi nel registro del mittente e rivedi le relative autorizzazioni DNS , firma, inoltro e destinatario in modo indipendente. Un'etichetta denominata gestione temporanea non è un controllo di isolamento quando utilizza credenziali di produzione o la stessa chiave di firma senza restrizioni.
Definire un confine ambientale
Registrare lo scopo dell'applicazione, l'ambiente, il proprietario, la criticità, il dominio visibile dal dominio, il dominio della busta, DKIM identità di firma, endpoint, destinatari approvati, ultimo test e riferimento di approvazione. Utilizza identità di servizio e archivi di credenziali distinti laddove consentito dalla piattaforma. Non copiare i segreti di produzione in un dispositivo o in un esempio di documentazione.
Un sottodominio di test dedicato può aiutare a separare denominazione e policy, ma non costituisce automaticamente un limite di sicurezza. DMARC rilassato allineamento può mettere in relazione domini a livello di dominio organizzativo, a seconda delle regole di rilevamento e allineamento applicabili del protocollo. Verificare il comportamento effettivo dell'allineamento anziché presumere che una diversa etichetta all'estrema sinistra renda la posta non correlata. RFC 9989.
Autorità separata dalla denominazione
Controlla cosa possono fare ciascun servizio di firma, delega DNS e regola di inoltro. Un servizio di test autorizzato a firmare per il dominio di produzione può comunque produrre posta allineata alla produzione. Un mittente di prova con un dominio dedicato può comunque raggiungere clienti reali se i controlli sui destinatari non sono limitati. L'autenticazione e il contenimento dei destinatari risolvono diversi problemi.
Per SPF, esaminare l'effettiva identità della busta e la sua infrastruttura di invio autorizzata. Per DKIM , esaminare selettore proprietà e il dominio di firma anziché solo l'indirizzo di visualizzazione. RFC 7208 E RFC 6376. Trattare l’autorità condivisa come un’eccezione esplicita con impatto, proprietario e scadenza, non come una comodità invisibile.
Separare due errori di stadiazione
Supponiamo che un servizio di gestione temporanea disponga di un dominio Da test dedicato, ma le relative credenziali di firma possono firmare anche per la produzione. Un secondo servizio ha un'autorità di firma limitata ma può inviare messaggi a destinatari reali illimitati. Il primo necessita di una revisione dell'autorizzazione alla firma; il secondo necessita di contenimento del destinatario. Un'etichetta di dominio di prova non può risolvere nessuna delle lacune di autorizzazione.
Si tratta di risultati di autorizzazioni ipotetici, non di controlli eseguiti o di audit della piattaforma. Registra identità e destinatari approvati, quindi verifica l'applicazione tramite prove di configurazione autorizzate e test limitati. Un foglio di calcolo può evidenziare una mancata corrispondenza ma non può interrompere un messaggio. Laddove i controlli non siano disponibili, mantenere una riserva esplicita o un'alternativa strettamente approvata anziché dichiarare l'isolamento dalla sola denominazione.
Promuovi la configurazione rivista anziché lo stato nascosto
Memorizza la configurazione prevista e la differenza esatta per ciascun ambiente. Utilizzare i principi di base e di controllo del cambiamento del NIST per esaminare ciò che viene promosso. SP800-128. Registra le dipendenze che non possono essere identiche tra ambienti, come nomi DNS pubblici, selettori e identità di certificati.
Metti alla prova il candidato in un ambiente sicuro, quindi ottieni l'approvazione richiesta per la distribuzione in produzione. Un test di staging superato non dimostra DNS di produzione, le autorizzazioni o il comportamento del percorso. Verifica della produzione con destinatari autorizzati e test limitato dopo l'implementazione. Se l'ambiente cambia durante il test, ristabilire la linea di base invece di considerare i risultati obsoleti come approvazione corrente.
Mantenere le prove e l'accesso distinti
Conserva prove di test separate con etichette di ambiente e timestamp. Oscura i dati dei destinatari reali quando non è necessario ed evita di utilizzare messaggi di clienti reali come strumenti di prova. Limitare la possibilità di modificare DNS di produzione, assegnare identità di firma e modificare i controlli dei destinatari agli operatori responsabili.
Esaminare periodicamente le dipendenze condivise. Se test e produzione devono condividere un account di inoltro o fornitore, documentare i controlli effettivi che limitano l'identità e l'utilizzo del destinatario. Definire il rollback per la produzione separatamente dalla pulizia del test. La rimozione di un selettore di test è sicura solo dopo aver confermato che nessun flusso di produzione dipende da esso; i nomi da soli non possono stabilire tale dipendenza.