UN SPF la policy è un elenco di autorizzazioni con dipendenze. Merita la stessa revisione della proprietà di un account di servizio. Una vecchia inclusione o un'ampia rete di rete può ancora autorizzare la posta anche dopo che il servizio commerciale che la giustificava è scomparso. L'obiettivo dell'audit è mantenere i percorsi di invio necessari e ritirare l'autorizzazione che non ha più uno scopo difendibile.
Traduci la sintassi in autorizzazioni aziendali
Inizia da ogni dominio effettivamente utilizzato in MAIL DA, non solo il dominio del sito web aziendale; inventario HELO identità politiche separatamente laddove tali controlli fanno parte del percorso. Registra la policy pubblicata ed espandi le dipendenze raggiunte tramite include e reindirizzamento. Un'inclusione è una valutazione SPF ricorsiva: un passaggio nella politica inclusa fa sì che l'inclusione corrisponda; il qualificatore su quell'inclusione determina il risultato esterno. Non si tratta semplicemente di un'importazione di testo. Per un'inclusione positiva ordinaria, i cambiamenti nella politica di riferimento di un provider possono di conseguenza modificare gli indirizzi autorizzati dal tuo dominio. RFC 7208 §5.2, RFC 7208 §6.1.
Per ogni autorizzazione riportare la domanda, il titolare dell'azienda, il titolare tecnico, il conto del contratto o del servizio, il dominio della busta, la finalità, l'ultima prova di invio verificata e i vincoli di pensionamento. Contrassegna CIDR ampi, intervalli di servizi condivisi e meccanismi basati su host generale o Record MX per una revisione esplicita. La preoccupazione è il loro effettivo ambito di autorizzazione, non una regola secondo cui un particolare meccanismo è sempre sbagliato.
Distinguere dormienti da abbandonati
Un mese tranquillo non dimostra che un mittente sia obsoleto. Avvisi annuali, disaster recovery, solleciti di pagamento e flussi di lavoro amministrativi a basso volume potrebbero essere assenti da una breve finestra di osservazione. Combina i report di autenticazione disponibili con la configurazione dell'applicazione, gli inventari dei servizi e la conferma del proprietario. Rapporti aggregati sono osservazioni utili, non un inventario completo di ogni messaggio mai inviato.
Esempio illustrativo: un'inclusione etichettata "eventi" non ha traffico recente. Il marketing identifica una campagna di rinnovo annuale che lo utilizza ancora. Tale autorizzazione rimane in attesa di revisione finché il proprietario della campagna non verifica un test o una migrazione. Una seconda inclusione appartiene a una prova chiusa il cui account è stato disabilitato e il cui proprietario conferma che non ci sono messaggi in coda o programmati. Diventa un candidato alla pensione.
Riduci l'ambito senza creare un'interruzione nascosta
Preparare una modifica contenente l'esatto vecchio e proposto Registri SPF, i servizi coperti, i messaggi di prova, la finestra di monitoraggio e l'attivazione del rollback. Verificare che il nuovo record sia una singola policy SPF valida e che i percorsi di valutazione rappresentativi rimangano entro il limite del termine che causa la query DNS. Non risolvere un elenco di autorizzazioni di grandi dimensioni modificando il suo qualificatore finale in +all , che autorizza ogni indirizzo di connessione. RFC 7208 §4.5, RFC 7208 §4.6.4, RFC 7208 §5.1.
Rimuovere un permesso compreso in modo indipendente alla volta, quando possibile. Controllare i flussi approvati dal proprietario dopo che le cache hanno avuto l'opportunità di scadere, riconoscendo che un singolo TTL non dimostra che ogni osservatore ha lo stesso stato. Ripristina la policy salvata solo se il rollback rimane sicuro. Se il vecchio servizio è compromesso, utilizza un piano di incidenti anziché autorizzarlo nuovamente per migliorare le statistiche di consegna.
Definire l'esito dell'audit
Chiudere una voce come conservata presso un proprietario, ritirata con prove o irrisolta con una scadenza. Un record più piccolo è un sottoprodotto; il vero risultato finale è un registro dei permessi tracciabile. Il pass SPF autorizza l'uso dell'identità verificata, non di tutti gli indirizzi del mittente visibili o di tutti gli inquilini che condividono una piattaforma di invio. Mantieniti allineato DKIM E DMARC validazione come controlli separati. RFC 7208 §8.3, RFC 7208 §11.2, RFC 7208 §11.3, RFC 7208 §11.4.
Utilizzare un documento decisionale concreto
Per una rimozione proposta, registrare il termine esatto e la qualificazione, i consumatori interessati, la decisione del proprietario, la finestra delle prove, le dipendenze in coda o stagionali, la politica proposta e la condizione di recupero autorizzata. Se un flusso di lavoro annuale non ha prove di prova, mantieni irrisolta la sua decisione di pensionamento piuttosto che trattare i rapporti assenti come approvazione. Un'inclusione positiva può autorizzare l'infrastruttura condivisa di un servizio; non impone l'isolamento dell'inquilino. Questo è un foglio di lavoro di revisione, non una modifica di autorizzazione completata.