인증된 메시지에는 여전히 끊어지거나 오해의 소지가 있거나 안전하지 않은 링크가 포함될 수 있습니다. 인증은 정의된 규칙에 따라 책임 있는 전송 도메인을 식별합니다. 연결된 웹사이트를 안전하게 만들거나 모든 수신 시스템이 메시지를 선호하도록 보장하지는 않습니다. 콘텐츠 여정과 메일 여정을 검토하세요.
수신자가 실제로 무엇을 받는지 검사
편집기 미리보기뿐만 아니라 최종 제어 메시지를 사용하세요. 보이는 링크 텍스트를 실제 대상과 비교한 다음 첫 번째 호스트와 의도한 대상을 식별합니다. 일반 텍스트 대안과 모바일 템플릿을 포함합니다. 막판 추적 재작성 또는 지역화 변경으로 인해 작성자가 테스트한 경로와 다른 경로가 생성될 수 있습니다.
DKIM 서명된 메시지 자료를 확인하고 이를 서명 도메인과 연결합니다. 콘텐츠 안전 인증서가 아닙니다. RFC 6376. 출시 체크리스트에서 인증 결과와 링크 검토 결과를 별도의 필드로 유지하세요.
보안 경계로서 리디렉션을 검토하세요.
OWASP는 신뢰할 수 없는 리디렉션 대상을 허용하면 다음을 수행할 수 있다고 설명합니다. 피싱 친숙한 시작 호스트를 악의적인 대상에 빌려줌으로써 고정된 대상이나 애플리케이션에 적합한 세심하게 검증된 허용 목록을 선호하세요. 유효성 검사에서는 우연한 하위 문자열 일치보다는 구문 분석된 대상을 고려해야 합니다. OWASP 검증되지 않은 리디렉션 지침.
이는 모든 리디렉션이 악성이라는 의미는 아닙니다. 합법적인 애플리케이션은 지역 라우팅, 인증 또는 추적을 사용할 수 있습니다. 유용한 질문은 모든 단계에 정당한 목적이 있는지, 책임 있는 소유자가 있는지, 안전한 목적지가 있는지 여부입니다. 하나의 홉을 제거하면 공급자의 게시되지 않은 필터링 알고리즘이 변경될 것이라고 약속하지 마십시오.
재고 검토를 통해 작업
4개의 링크에 대한 가상 검토를 고려하십시오. 직접 HTTPS 도움말 링크가 의도한 도움말 호스트에 연결됩니다. 2홉 추적 링크가 승인된 계정 호스트에 연결됩니다. 프로모션 링크는 승인된 인벤토리 외부의 관련 없는 호스트에 도달합니다. 네 번째 링크는 목적지에 도달하지 않고 두 호스트 사이를 순환합니다.
선언된 인벤토리 기준에 따라 처음 두 개는 허용 가능한 후보이고 후자 두 개는 수정이 필요합니다. 잘못된 대상을 교체하고 루프를 해결하면 승인된 재테스트를 통해 최종 경로가 확인된 경우에만 특정 결함을 해결할 수 있습니다. 이 예에서는 네트워크 검사나 복구가 실행되지 않았습니다. 악성 코드 상태, 라이브 DNS , 인증서 및 서비스 수신 처리는 별도의 질문으로 남아 있습니다.
이 4링크 연습을 합격률 주장으로 전환하지 마십시오. 수신 서비스는 대상 또는 동시 트래픽 변경을 포함하여 인벤토리에 없는 이유로 응답을 변경할 수 있습니다. 콘텐츠 문제를 언급할 때 정확한 공급자 진단을 유지합니다. 그렇지 않으면 제안된 연결을 검증되지 않은 상태로 유지합니다.
배송에 미치는 영향을 신중하게 진단하세요.
템플릿 수정 후 메일 성능이 변경되면 동등한 대상, 경로 및 관찰 창을 비교하십시오. 수락, 불만, 링크 실패를 별도로 캡처합니다. 동시적인 청중 변경 또는 제공자 사건이 추세를 설명할 수 있습니다. 최근에 편집되었다는 이유만으로 모든 움직임을 URL에 귀속시키지 마십시오.
공급자가 URL 또는 콘텐츠 문제를 명시적으로 식별하는 경우 완전한 응답을 유지하고 현재 지원되는 수정 프로세스를 따릅니다. 그렇지 않으면 증거를 가설로 보고하십시오. 필요한 승인 없이 메시지나 민감한 URL을 타사 스캐너에 업로드하지 마세요.
설명 가능한 콘텐츠 경로 해제
오해의 소지가 있는 라벨, 손상된 대상 및 불필요한 소유되지 않은 홉을 수정합니다. 애플리케이션 소유자가 대상 유효성 검사를 검토하고 메일 소유자가 최종 렌더링된 메시지를 확인하도록 하세요. 해당하는 경우 계정, 도움말 및 구독 취소 여정을 포함하는 작은 회귀 제어 링크 세트를 유지합니다.
테스트한 내용과 알려지지 않은 내용을 마무리합니다. 목표는 인증을 통해 지원되지만 인증과 혼동되지 않는 명확하고 신뢰할 수 있는 수신자 여정입니다. 이는 수신자가 자세한 콘텐츠 평판 점수를 공개하지 않는 경우에도 실행 가능합니다.
평판 결과를 조작하지 않고 링크 결함을 닫습니다.
정확하게 수정된 대상 또는 루프, 제어된 메시지 개정 및 실제로 수행된 검사를 기록하십시오. 증거가 링크 결함과 연관되지 않는 한 서비스 수신 추세를 별도의 조사로 유지하십시오.