Inizia con il dominio del cliente, non con un record copiato
Il modello di invio orientato all'agenzia di Instiller rende la proprietà del dominio un problema pratico di implementazione. La sua politica di utilizzo accettabile richiede SPF E DKIM e richiede domini di invio e clic personalizzati per ciascun cliente. Il lavoro di autenticazione dovrebbe quindi iniziare con un cliente specifico, un dominio di invio e un amministratore DNS responsabile, piuttosto che un esempio a livello di agenzia copiato in ogni zona. Requisiti di invio dell'instiller.
Questa guida riguarda le campagne e-mail inviate tramite Instiller. Non stabilisce una configurazione identica per ogni distribuzione white label, integrazione transazionale o opzione di busta personalizzata. Acquisisci l'indirizzo del mittente esistente, il flusso di lavoro di invio, il dominio di tracciamento dei clic e la gestione del rimbalzo nota. Queste identità possono servire a scopi diversi; un nome host di tracciamento funzionante non è la prova che il messaggio stesso sia autenticato.
Chiedi al fornitore che gestisce l'account di confermare l'intero set di record e i domini di firma e busta previsti. Salva quella risposta con la modifica pianificata. Se il DNS è di proprietà del cliente, concorda una finestra di manutenzione ed evita di accettare uno screenshot di un editor non salvato come prova del completamento.
Ottieni e pubblica DKIM deliberatamente
L'articolo DKIM di Instiller indica agli utenti dei servizi ospitati di ottenere la chiave pubblica richiesta dal proprio provider. Descrive Record TXT sotto il selettoreil nome _domainkey di e distingue il posizionamento del dominio root e del sottodominio. Non fornisce un selettore di account universale o una chiave di produzione completa per ogni cliente. Guida DKIM dell'instillatore.
Richiedi il selettore, il proprietario completo, il tipo di record, il valore completo della chiave pubblica, i requisiti di attivazione e la procedura di rotazione. Pubblica solo il materiale pubblico fornito per il dominio approvato. Non generare una chiave sostitutiva localmente a meno che il provider non supporti specificamente tale flusso di lavoro: una nuova chiave pubblica è inutile se il servizio di invio firma ancora con una chiave privata diversa.
Prima della pubblicazione, controlla i record esistenti in corrispondenza del nome del selettore e determina in che modo l'host DNS rappresenta i dati TXT lunghi. Assicurati che la risposta DNS finale preservi l'intera chiave senza inserire caratteri non desiderati. L'articolo pubblico discute le vecchie dimensioni della chiave e le indicazioni sulla rotazione; chiedi le impostazioni attualmente supportate dell'account invece di considerare quelle dichiarazioni storiche come una moderna base di sicurezza. Guida ai record DKIM.
Riconcilia SPF e DMARC per il percorso effettivo
L'articolo SPF di prima parte afferma che la politica dipende dagli intervalli IP di invio ed etichetta il suo record come esempio. Ottieni l'autorizzazione corrente per questo account invece di pubblicare l'intervallo di indirizzi di esempio. Mantieni una politica SPF per ciascun proprietario interessato e preserva gli altri mittenti legittimi. Guida SPF dell'instillatore.
SPF viene confrontato con l'identità della busta SMTP . Chiedere esplicitamente se la campagna prevista utilizza lì il dominio del cliente, un sottodominio del cliente o il dominio del fornitore; la configurazione pubblica recuperata non dimostra tale scelta per un account live. La conferma specifica dell'account è particolarmente importante quando un partner gestisce il servizio o coesistono più domini cliente.
DMARC valuta se un dominio SPF o DKIM di passaggio è allineato al dominio Da visibile. Entrambe le tecnologie possono passare mentre nessuna delle due si allinea. Al contrario, un percorso di passaggio allineato può soddisfare DMARC , anche se Instiller richiede separatamente entrambe le tecnologie a livello operativo. Identifica anche la guida al mittente di massa allineamento e una politica DMARC come requisiti. Guida al mittente di massa dell'instiller E DMARC.
Pianifica l'applicazione su ogni mittente legittimo che utilizza il dominio. L’integrazione di una nuova campagna non giustifica la sostituzione di una politica di quarantena o di rifiuto esistente con il monitoraggio, né la pubblicazione riuscita DNS giustifica l’aumento dell’applicazione senza rivedere altre fonti di posta.
Accetta la campagna con prove del messaggio
Piano di test originale: invia una piccola campagna innocua attraverso l'esatto flusso di lavoro del cliente a destinatari esterni controllati. Cattura l'ora, account cliente, Dal dominio, Return-Path, identità e risultato SPF attendibili, tutte le coppie DKIM d=/s= e risultato DMARC attendibile. Confronta queste osservazioni con la configurazione promessa dal provider. Confermare che la gestione delle risposte e dei rimbalzi raggiunga ancora le destinazioni previste.
Se la chiave non viene trovata, controlla l'ortografia del selettore, il posizionamento del sottodominio e le risposte DNS pubbliche. Se la firma fallisce, coinvolgi il provider con una fonte di messaggio oscurata anziché sostituire chiavi arbitrarie. Se l'autenticazione riesce ma l'allineamento fallisce, chiedi quale impostazione di identità supportata deve essere modificata. Mettere in pausa il nuovo mittente client finché non viene compresa la causa, mantenendo la configurazione approvata precedente per il rollback.
Non è stato testato alcun account Instiller live, pubblicazione DNS o campagna. I registri specifici dei conti correnti, il comportamento della busta e i risultati end-to-end rimangono lacune in termini di prove, per le quali è ancora necessaria l’approvazione delle PMI umane.
Distribuisci un record cliente alla volta
Utilizzare una scheda di accettazione proposta separata per ciascun cliente: contatto del fornitore, dominio di invio, selettore e chiave emessi, proprietario e autorizzazione SPF , busta prevista, requisito di attivazione e flusso di lavoro del test. Registrare le identità promesse separatamente da quelle osservate. Una risposta mancante del provider lascia il client interessato in attesa; non giustifica il prestito della chiave di un altro cliente o l'ampliamento SPF condiviso. Nessuna carta è completata per un conto reale in questo articolo.