Postmarkルートと ID を選択します
このガイドでは、単に受信処理にPostmarkを使用する Web サイトではなく、実際にPostmarkに送信された送信メッセージについて説明します。アプリケーション、 Postmarkサーバーとメッセージ ストリーム、目的の From ドメイン、およびDNS管理者を記録します。別のアプリケーションによって送信されたレシートは、そのブランドが同一に見える場合でも、個別にテストする必要があります。 DNSを変更する前に、既存のレコードと正確なワークフローからのベースライン メッセージを保存します。
Postmarkのドメイン検証ワークフローは、 DKIM TXTレコード そしてカスタム Return-Path CNAME。検証されたドメインでは、そのドメイン全体のアドレスからの送信が許可されるため、ドメインの検証は、それを代表する権限を与えられたチームが所有する必要があります。別のテナントの値ではなく、ドメインに表示されている値を使用してください。 ドメインPostmark確認.
ポリシーを変更する前に署名を有効にする
[送信者の署名] を開き、ドメインを選択して、 DNS設定を入力します。 DKIMホスト名と値を権威DNSプロバイダーのTXTレコードにコピーします。 DNSエディターがゾーン名を追加するかどうかを確認します。サフィックスが重複すると、キーが間違った場所に配置されます。 Postmarkまで戻って記録を確認します。文書Postmark 48 時間以内に自動チェックされ、検証は手動で行われます。署名は検証後に開始されます。 DKIMセットアップ.
緑色のステータスを最終的な受け入れテストとして扱わないでください。プロバイダーが見つけたことが証明されます 記録実稼働アプリケーションが意図した From アドレスを使用したり、後のゲートウェイが署名を保存したりするわけではありません。検証後に制御された送信をスケジュールし、すべてのDKIM署名を含む受信者の元のメッセージを保存します。
サポートされているReturn-Pathを個別に追加します
同じドメイン設定に表示されるReturn-Pathホスト名とそのCNAMEターゲットpm.mtasv.netとして文書化されている) を使用します。この目的のために、未使用のホスト名を予約しておきます。置かないでください SPF 同じ所有者名のCNAMEと並行してTXTレコードを作成し、apex レコードをバウンスCNAMEで置き換えないでください。 Postmarkドキュメントには異なるデフォルトのホスト名のスペルが示されているため、実際のアカウントの値がコピーされた例よりも優先されます。 ドメインの検証.
Postmark顧客の頂点に含める必要はありません SPFレコード。 SPFチェックは、実際のエンベロープ ドメインに従います。 apex インクルードを追加しても、プロバイダー所有のReturn-Path顧客所有のものに変換できません。文書化されたカスタムReturn-Pathはサブドメインです。 Postmark SPFを緩めることを推奨します アライメント このルートの場合。厳格なSPF要件は、インクルードを追加しても修正されません。ドメインの承認されたポリシーを保持し、必要に応じて検証済みの調整されたDKIMパスを使用します。 Postmark SPFガイダンス.
申請結果を証明する
以下は、キャプチャされた配信ではなく、合成受け入れ設計です。すべての例を観察された値に置き換え、テストのタイムスタンプとメッセージ ID を保持します。
- 証拠: から見える;値の例： receipts@example.com ;承認の質問: これは承認されたアプリケーション ID ですか?
- 証拠: エンベロープドメイン。値の例: pm-bounces.example.com ;承認の質問: このメッセージでカスタムReturn-Pathアクティブになりましたか?
- 証拠: DKIM署名ドメイン。例示的な値: example.com ;承認の質問: 信頼できる受信者はこの署名を検証しましたか?
- 証拠： DMARC;値の例: pass;受け入れの質問: この結果を生成した整列された受け渡しメソッドはどれですか?
- ra example.comのドメインとその下の bounce サブドメインからは、厳密なSPFアライメントは機能しませんが、緩和されたSPFアライメントは機能します。厳密なドメインの受け渡し DKIM署名 DMARC満たすことができます。すべてのメッセージが署名されていることを保証するのではなく、観察された署名を評価します。 DMARCアラインメント.
実際のレシートとパスワード リセット イベントを、それぞれのアプリケーション パスを通じてテストします。ストリームと送信者の構成を比較します。一方が成功し、もう一方が失敗した場合は、共有DNS変更する前に、分岐ルートを調査します。本物の財務上の領収書をテストとして顧客に再送信しないでください。
診断して回復する
DKIMが存在しない場合は、アプリケーションの From ドメインが検証済みのドメインと一致し、署名がアクティブであることを確認します。署名が存在しても失敗した場合は、受信者の理由を保存し、正確な署名を検査します。 セレクタ ルックアップとコンテンツ変更リレー。 SPF合格しても調整されていない場合は、apex 権限を追加するのではなく、 Return-Pathアクティベーションを検査してください。 DNS検証が失敗した場合は、信頼できる回答、完全なホスト名、レコード タイプをアカウントの値と比較します。
受け入れが失敗した場合は、影響を受けるアプリケーション ストリームのみを一時停止します。変更所有者を通じて保存されたレコードまたは送信者の設定を復元し、制御されたイベントを再テストします。キューに入れられたメールがまだ古いセレクターを必要とする可能性がある間は、古いセレクターを削除しないでください。未使用のバウンス委任と署名レコードは、他のPostmarkアプリケーションがそれらを共有していないことを確認した後にのみ破棄してください。この原稿は文書に基づいています。テナント、 DNS変更、ライブ配信はテストされていません。
厳密な結果と緩和された結果を明示的に比較する
書面によるケース PM-01 の場合は、 From receipts@example.comと仮定します。 メール送信元 bounce@pm-bounces.example.comとpm-bounces.example.comの信頼できるSPFパス。通常の同じ組織ドメインの緩和された調整では、そのSPFパスは調整されます。 aspf=sを指定すると、 example.comと正確には一致しません。別途、署名d=example.com, s=demo1:そのパスは正確に位置合わせされ、厳密な SPF の場合でもDMARC満たすことができます。合格ではなくDKIM不明になった場合は、前述の前提に基づいてパスを保持しないでください。これらは規定された入力であり、 Postmark配信のキャプチャやポリシーを弱めるためのアドバイスではありません。
施行境界を維持する
RFC 9989セクション 7.4 ではp=reject,公開するドメインに対してSPFのみではなく有効なDKIM要求し、間接メールとメーリング リストの相互運用性について警告しています。ダイレクト メッセージ テストが 1 回成功しただけでは、すべての正当なルートがより強力なポリシーに対応できるようになっているという証拠にはなりません。実際のギャップを診断しながら、既存の承認された保護を維持します。政策変更には独自の決定が必要です。