I sistemi HR possono inviare messaggi che sembrano posta interna ma provengono da piattaforme di reclutamento, fornitori di buste paga e applicazioni di servizi ai dipendenti. Il primo compito è identificare l'account effettivo e il proprietario dell'organizzazione per ciascun percorso. Un marchio riconoscibile del fornitore non costituisce la prova che una particolare e-mail del candidato o un avviso sulla busta paga siano stati autorizzati dal datore di lavoro.
Dividere la proprietà prima di cambiare politica
Assegnare notifiche di reclutamento al proprietario delle operazioni di reclutamento, avvisi sulle buste paga al proprietario del servizio buste paga e aggiornamenti sui dipendenti al proprietario delle operazioni relative alle persone. Titolare del record del fornitore, scopo, identità dell'origine, dominio della busta, DKIM dominio di firma e selettore, instradamento delle risposte e contatto di supporto approvato. Se un fornitore serve diverse filiali, registra quale entità legale e dominio ciascun account intende utilizzare anziché trattare il gruppo come un unico mittente indifferenziato.
L'inventario dovrebbe contenere metadati operativi, non CV dei candidati, dettagli sullo stipendio o identificatori dei dipendenti. Conservare eventuali prove riservate necessarie sotto adeguati controlli di accesso e conservazione. Il debug dell'autenticazione non è l'autorizzazione a copiare i dati del personale in un ticket di risoluzione dei problemi di posta generale.
Comprendi cosa significa il risultato
RFC 9989 valuta l'utilizzo del dominio autenticato. Ciò non dimostra che un'offerta sia valida, che l'adeguamento del libro paga sia corretto o che un reclutatore sia autorizzato ad assumere un impegno. Mantenere le decisioni sull'assunzione e le modifiche dei dettagli bancari sotto i propri processi di verifica. Un account approvato compromesso può comunque inviare contenuti fuorvianti autenticati.
Utilizza risultati e intestazioni del sistema ricevente attendibili per confrontare l'identità Da visibile con l'identità autenticata. Non fare affidamento su uno screenshot contenente il logo di un fornitore o un'intestazione non attendibile inserita dal mittente. Chiedi al fornitore la sua attuale procedura di dominio personalizzato specifica per l'account e conserva le prove della configurazione senza esporre le credenziali.
Controlla l'avviso del dipendente senza prendere in prestito la prova del libro paga
Supponiamo che gli avvisi sui candidati e sulle buste paga utilizzino domini di firma corrispondenti ai rispettivi domini From, mentre employees.hr.example appare nel From di un avviso dei dipendenti e provider.example.net è il relativo dominio DKIM d=. Anche supponendo che la firma venga verificata, non supera DKIM rigoroso allineamento. Si tratta di identità ipotetiche, non di esemplari firmati o di veri e propri controlli crittografici. Un risultato della gestione stipendi non può chiudere una mancata corrispondenza separata degli avvisi del dipendente.
RFC 9989 Sezioni 4.4 e 5.3.5 richiedono di considerare gli altri percorsi allineati rilevanti per un completamento DMARC risultato. Per p=reject distribuzione, le sezioni 7.4 e 8 richiedono DKIM valido anziché SPF solo. Separatamente, la risposta di un candidato potrebbe raggiungere la coda di reclutamento sbagliata nonostante il passaggio di un messaggio in uscita. Verifica la destinazione della risposta approvata con documenti fittizi e conti controllati, non con candidati reali o dettagli del personale.
Testare i percorsi effettivi dei dipendenti e dei candidati
Utilizzare un account candidato e dipendente fittizio approvato in un ambiente di test supportato. Attiva un riconoscimento della domanda, una notifica innocua sulla busta paga e un aggiornamento dei dipendenti attraverso i flussi di lavoro delle applicazioni reali. Conferma la ricezione controllata, l'autenticazione e l'instradamento delle risposte. Verifica che la risposta di un candidato raggiunga la coda di reclutamento prevista senza esporre i dettagli di un altro candidato. Trattare l'accesso ai documenti e la correttezza dei contenuti come criteri di accettazione separati.
Se il fornitore offre solo la propria identità Da, il proprietario dell'azienda deve decidere se un indirizzo supportato presentato in modo chiaro soddisfa le esigenze del flusso di lavoro. Non falsificare l'identità del datore di lavoro attraverso una configurazione non supportata o aggiungere regole di bypass generali solo per far sembrare un test riuscito. Testare nuovamente le modifiche supportate e documentare eventuali limitazioni rimanenti.
Mantieni l'offboarding connesso alla governance del mittente
Rivedi le autorizzazioni quando scade un contratto di agenzia, cambia un fornitore di servizi di gestione paghe o un amministratore delle risorse umane lascia l'azienda. Conferma il flusso di lavoro successivo prima di ritirare le chiavi o le dipendenze DNS . Mantieni un proprietario di recupero denominato per i messaggi urgenti relativi ai candidati e alle buste paga. Contrassegnare il percorso accettato solo quando il titolare del servizio approva l'attuale prova di prova; né un record DNS né un passaggio di autenticazione costituiscono una certificazione di occupazione, privacy o conformità normativa.