送信セキュリティ ゲートウェイまたは企業署名サービスは、アプリケーションが署名した後でメールを検査および変更できます。安定した DKIM 設計では、必要なコンテンツの変更後に最終的な承認された署名ステップが配置され、ルート全体が検証されます。重要な問題は、どの製品が有効なDKIM設定を最初に表示するかではなく、どのコンポーネントが最終メッセージを発行するかということです。
実際の処理順序を描画する
マップの送信、コンテンツの検査、免責事項または署名の挿入、 MIMEシリアル化、 DKIM署名、および外部配信。アプリケーションと緊急フェイルオーバーによって使用される代替ルートを含めます。従業員のメールボックスのメールとアプリケーションのメールが同じパスを通ると想定しないでください。
各コンポーネントについて、本文、選択したヘッダー、エンベロープ ID、またはルーティング メタデータのみを変更するかどうかを記録します。企業電子メールの署名ブロックは本文の内容です。暗号とは関係ありません DKIM-Signature 「署名」という共通の単語にもかかわらず、ヘッダー。 URL の書き換え、添付ファイルの処理、HTML の再構築も、対象のコンテンツに影響を与える可能性があります。
RFC 6376 §5.3 そして RFC 6376 §5.5 署名者は意図した送信表現を操作する必要があり、再署名者は再署名する前に変更を行う必要があります。設計では、そのシーケンスを可視化してテストできるようにする必要があります。
ドメインとキーの所有者を選択します
ゲートウェイは、独自のドメインに有効な署名を追加できます。それは自動的にDKIM満たしません アライメント 著者ドメインの場合 RFC 9989 §4.4.1。必要な設計でカスタム ドメイン署名を使用する場合は、文書化された製品の機能、生成されたDNS値、および秘密キーの保管場所を確認してください。発明しないでください セレクタ 名前を付けるか、別のテナントの構成をコピーします。
誰が署名構成を変更し、キーをローテーションし、最終的なコンテンツ パイプラインを変更できるかを決定します。秘密キーがインシデントノートまたはテストバンドルにエクスポートされないように保護します。公開キーの公開はセットアップの一部にすぎません。実際の送信メッセージには、最終処理後に作成された一致する署名が含まれている必要があります。
2 つのコントロールを使用してパイプラインをテストする
例示的なデザイン A は、最初に署名し、次に企業連絡先ブロックを追加します。元の全身署名は失敗する可能性があります。デザイン B はブロックを挿入し、 MIMEシリアル化を完了してから、承認されたアライメントされたドメインで署名します。後の処理でカバーされたデータがそのまま残される場合、意図した署名は存続できます。これらはテストでの予想であり、指定されたベンダーについての主張ではありません。
プレーンテキスト、HTML、非 ASCII コンテンツ、および添付ファイルを目的のルート経由で送信します。関連する場合、アプリケーションによって生成されたメッセージとサポートされているフェイルオーバー ルートを含めます。最後のプロセッサの後、信頼できる外部受信側でメッセージをキャプチャします。未区別の合格ラベルを受け入れるのではなく、各結果を d および s に関連付けます。
設計内にセキュリティ制御を維持する
署名を後で移動する場合は、保護されたワークフローの外に検査をサイレントに移動したり、必要なスキャンをバイパスしたりしないでください。必須の書き換えサービス後に最終署名者が実行できない場合は、サポートされている統合または別の承認された署名境界を評価します。パス カウントを生成するためだけに、後のコンテンツを除外するために l を使用することは避けてください。 RFC 6376 §8.2 署名されていないコンテンツのリスクについて説明します。
ダウンストリームの新しい署名は、以前に失敗した署名と共存できます。どの署名が意図した位置合わせを提供するか、および受信サービスがそれをどのように報告するかを確認します。以前の失敗の証拠をテスト記録から削除しないでください。
変更管理されたサービスとして境界を運用する
ルート図、責任ある所有者、キー保持計画、およびフォーマット テスト スイートを保持します。ゲートウェイのアップグレード、ブランド テンプレートの変更、ルーティングの変更、およびフェールオーバーのアクティブ化の後に再テストします。成功には、意図したコンテンツ、有効に調整された認証パス、および正しい配信が必要ですが、技術的な結果とは別に人間の承認が必要です。
次の決定を記録する
仮説的なメッセージの場合、プロセッサーの順序、予想される内容の変更、各 d/s ペア、受信者の判定と調整を記録します。ゲートウェイが無関係のベンダー ドメインとしてのみ署名する場合は、署名が成功した場合でも、調整されたDKIM未解決としてマークします。署名者を移動すると検査が回避される場合は、その設計変更を中止し、サポートされている統合を探してください。これらは計画基準であり、ルート テストを実行するものではありません。