強制ポリシーへの移行は、ドメイン管理に関する重要な決定であり、電子メール詐欺の終わりではありません。達成された境界を正確に報告します。ドメインは、失敗したメッセージのより強力な処理を要求します。 DMARC。次に、依然として認証を行う可能性がある、またはその ID 境界から外れる可能性がある脅威と、正規のメールの機能を維持するために必要な運用作業について説明します。
保証なしで保護を明記する
DMARC 、調整されたドメイン認証と、公開された処理設定およびレポート フレームワークを組み合わせます。受信者の実際の処理には、ローカル ポリシーが関係する場合があります。失敗したすべてのメッセージがどこでも拒否されるとか、パスがメッセージの安全を意味するなどとは約束しないでください。 RFC 9989.
類似ドメインのメッセージ、表示名のなりすまし、侵害された正規の送信者は、施行後も危険なままになる可能性があります。認証されたサプライヤーは、未承認の支払いリクエストを送信する可能性があります。 SPF 意図したよりも広範囲にわたる許可によって、調整された通過ルートが利用可能なままになる可能性もあります。これらは、補完的な制御を維持する理由であり、ドメイン認証を放棄する理由ではありません。
変更前の正規ルートを確認する
サービス、責任のある所有者、作成者ドメイン、認証されたドメイン、などの送信者ごとのマトリックスを維持します。 アライメント 証拠、重要な受信者、最後にテストされた日付。スキャナーやアラートなどの低容量システムを含めます。静かなルートが必ずしも使用されていないとは限りません。インベントリを完了したものとして扱う前に、不明な送信者を解決してください。
提案されたポリシーの差分とそれを誰が承認したかを文書化します。からの変化 p=none に p=reject は一例であり、やみくもに公開する値ではありません。該当するドメインと依存関係を確認し、観察期間を計画し、重要な正当な障害に対する回復トリガーを定義します。この記事のデモ ID ではなく、生成されたサービス固有の値を使用してください。
書面による準備台帳を調べる
以下に提案されているp=noneからp=rejectの変更では、メッセージごとに単一の有効な可視 From と規定された受信者の認証証拠を想定します。実際の変更や受信機のテストは行われません。
- 請求: 提案された所有者請求操作。 invoice@billing.brand.testから; bounce@billing.brand.testのSPFパス。 DKIM d=billing.brand.test.両方の識別子が正確に一致しているため、仮想メッセージは合格します。実際の重要な受信者のテストと変更の承認は提供されていないままです。
- サポート: 提案された所有者のサポート業務。 agent@support.brand.testから; bounce@support.brand.testのSPFパス。 d=support.brand.test.でDKIMに合格します。両方とも正確に一致しているため、仮説的なメッセージは通過します。実際の重要な受信者のテストと変更の承認は提供されていないままです。
- レガシースキャナ: 所有者は未確認。送信者、 SPF 、 DKIM 、および受信者のカバレッジは不明です。メッセージの判定を推測することはできません。準備完了を宣言する前に、責任ある所有者を割り当て、ルートの証拠を入手してください。
全体的な展開の準備は確立されていません。規定された 2 つのパスでさえ、生産証拠は観察されません。提案された変更所有者は、不明な点、承認、回復トリガー、およびルート チェックが解決されるまで、変更を保留にしておく必要があります。この台帳に対してコード、 DNSクエリ、署名検証は実行されませんでした。
RFC9989セクション 7.4 では、 p=reject公開するときに有効なDKIM署名を要求し、ユーザーがメーリング リストに投稿する可能性があるドメインを拒否しないようにアドバイスしています。これらのドメインは、まず少なくとも 1 か月間、 p=noneで集計データを評価し、次に p=quarantine 同じくらい長い期間。これらの相互運用性の制約を考慮してポリシーを選択してください。クリーンな直接送信の例では、間接メールのリスクは解決されません。
承認されたロールアウト後の動作を確認する
実際の変更では、公開されたポリシー、時間、承認された差分、および重要なルートごとのテストをキャプチャします。信頼できる受信者の結果と実際の処理を比較し、利用可能な集計レポートとその適用範囲の制限を確認します。レポートが存在しないことは、メールが送信されなかったこと、または障害が発生しなかったことを証明するものではありません。 RFC 9990。所有者なしで保護を大幅に弱めるのではなく、ルートごとに正当な例外を調査します。
残りの不正リスクについては、施行前に使用されていたのと同じビジネス用語で説明します。支払いの変更には依然として独立した検証が必要です。アカウント侵害には依然としてアカウントセキュリティ対応が必要です。類似品の検出と適切な範囲のレポートが必要です。 FBI の支払い検証に関するガイダンスは、ドメインが認証された場合でも引き続き適用されます。 FBIの指導.
音声補完ステートメントでは、観察されたポリシー、テストされたルート、未解決の例外、および残留制御が指定されます。それは言うべきではありません フィッシング 解決されます。サービス、キー、ビジネス プロセスの変更に応じて、所有権と定期的なレビューをアクティブに保ちます。