Voordat u het goedkeurt DKIM delegatie, vraag naar de exacte DNS wijziging en de ondertekeningsidentiteit die hierdoor mogelijk wordt gemaakt. “Voeg onze DNS records toe” is een te brede instructie voor een beveiligingsbeoordeling. A keuzeschakelaar CNAME, een NS-delegatie en toegang tot het gehele DNS account bieden verschillende vormen van controle.
Teken de grens voordat u deze goedkeurt
Een CNAME op de naam van één selectoreigenaar leidt de resolutie via zijn doel. Een provider die dat doel beheert, kan de verificatiegegevens wijzigen die via de alias worden bereikt. Het geeft op zichzelf geen toestemming om willekeurige namen in uw zone te bewerken. Een NS-delegatie stelt een zonegrens vast en geeft de gedelegeerde gezaghebbende servers de verantwoordelijkheid voor de namen daaronder, afhankelijk van de DNS hiërarchie. Beheerderstoegang voor het hele account kan nog veel breder zijn. RFC 1034 §3.6.2 En RFC 1034 §4.2 beschrijf deze DNS mechanismen.
Schrijf de naam van de eigenaar en de betrokken subboom in de goedkeuring. Een verzoek om service1._domainkey.example.com is iets anders dan controle over het geheel _domainkey.example.com subboom. Vervang een beperkte, door de provider ondersteunde record niet door een brede delegatie alleen maar omdat het eenvoudiger lijkt om te automatiseren.
Maak onderscheid tussen DNS bereik en de ondertekeningsimpact
DKIM verificatie verkrijgt een sleutel met behulp van de handtekeningselector en het ondertekeningsdomein. Controle over de verificatiegegevens van een bruikbare selector, samen met de bijbehorende privé-ondertekeningssleutel, kan geldige handtekeningen voor dat ondertekeningsdomein mogelijk maken. De schijnbare beperktheid van één DNS naam betekent daarom niet dat de gevolgen van het e-mailvertrouwen verwaarloosbaar zijn.
Een synthetisch voorbeeld illustreert het onderscheid. A provider receives a CNAME at invoices._domainkey.example.com en beheert de overeenkomende ondertekenaar voor d=example.com. De DNS toegang is beperkt tot het aliasdoel, maar die ondertekenaar kan handtekeningen produceren waarmee hij verantwoordelijkheid claimt example.com. Een selector met de naam Facturen beperkt zelf handtekeningen niet tot facturen, bepaalde ontvangers of een goedgekeurde campagne. Applicatie- en accountcontroles moeten deze limieten opleggen.
Als u een speciaal verzendend subdomein gebruikt, beoordeel dan wat van toepassing is DMARC uitlijning regels ook. Subdomeinscheiding isoleert niet automatisch een ontspannen uitlijning. RFC 9989 §4.4 beschrijft hoe geauthenticeerde identificatiegegevens worden vergeleken met het auteurdomein; het beleid en de bepaling van het organisatiedomein zijn van belang.
Verzamel bewijsmateriaal dat de goedkeuringsvraag beantwoordt
Vraag de huidige instructies van de provider, gegenereerde namen, account-ID, ondersteund ondertekeningsdomein en rotatiemodel op. Controleer wie deze waarden binnen het provideraccount kan wijzigen en of rolscheiding beschikbaar is. Vraag naar het sluiten van accounts en de afhandeling van verouderde DNS, zonder contractuele garanties aan te nemen die niet zijn geleverd.
Bouw een compact register: DNS eigenaar, recordtype, bestemming of naamservers, service-eigenaar, bedoeld d= identiteit, geprivilegieerde gebruikers van de provider, verlengingsdatum en pensioenprocedure. Inspecteer voor een voorgestelde NS-delegatie de volledige betrokken substructuur op bestaande selectors voordat u deze goedkeurt. Bij een verzoek om toegang tot een account kunt u zich afvragen waarom instructies per record of een beperktere ondersteunde rol onvoldoende zijn.
Test onboarding en beëindiging van het plan
Vergelijk na een goedgekeurde wijziging gezaghebbende en recursieve DNS waarnemingen en stuur deze door naar de beoogde dienst. Inspecteer het DKIM resultaat en de uitlijning van een vertrouwde ontvanger. De test moet de toegekende identiteit aantonen, en niet alleen maar aantonen dat een handtekening slaagt.
Bij beëindiging stopt u de toegang tot applicaties, verwijdert u verouderde verzendreferenties en coördineert u de intrekking van de selector met de leveringswachtrijen en het proces van de provider. Als de provider wordt verdacht van een compromis, roep dan incidentrespons in plaats van automatisch een routinematige overlap in stand te houden. Een service die in de inkooprecords als inactief is gemarkeerd, kan nog steeds een live technische afhankelijkheid vertegenwoordigen.
Documenteer het resterende vertrouwen expliciet: wat de aanbieder kan ondertekenen, wie het kan beheren en hoe snel de organisatie de afhankelijkheid kan wegnemen. Dat record maakt latere verlengingen tot een beoordeling van de daadwerkelijke autoriteit in plaats van een herhaling van het oorspronkelijke DNS ticket.
Vergelijk drie hypothetische goedkeuringsverzoeken
Gebruik de reikwijdte en de consequentie samen:
- Eén selector CNAME : bekijk de exacte eigenaar en doelgroep, beoogde identiteit en provider-accountcontroles. Het verleent geen willekeurige zonebewerkingstoegang, maar de sleuteltoewijzing kan ondertekening voor die identiteit mogelijk maken.
- NS-delegatie onder _domainkey.example.com : inventariseer de selectors onder die gedelegeerde zone en wie de gezaghebbende servers beheert. Bestaande of toekomstige selecteurs daar kunnen hierdoor worden getroffen, onder voorbehoud van verdere zoneverlagingen.
- Volledige DNS accounttoegang: vereist een expliciete behoefte en inspecteert de daadwerkelijke machtigingen van het account. Het kan niet-gerelateerde e-mail- en webrecords bereiken; dit is niet hetzelfde als het publiceren van één selectoralias.
Dit zijn beoordelingsscenario's, geen autorisaties of wijzigingen in een echte zone. Als de exacte reikwijdte of het eigendom onbekend is, lost u dat hiaat op voordat u het goedkeurt.
Gerelateerde lectuur
DKIM TXT en CNAME publicatie: volg het sleutelbeheermodel van de provider · Trek een DKIM sleutel in en onderscheid de intrekking van een ontbrekend DNS record.