HR-systemen kunnen berichten verzenden die op interne post lijken, maar afkomstig zijn van wervingsplatforms, salarisleveranciers en medewerkersserviceapplicaties. De eerste taak is het identificeren van de daadwerkelijke account en eigenaar van de organisatie voor elke route. Een herkenbaar leveranciersmerk is geen bewijs dat een bepaalde e-mail of loonaankondiging van een bepaalde kandidaat door de werkgever is geautoriseerd.
Verdeel het eigendom voordat u het beleid wijzigt
Wijs wervingsmeldingen toe aan de eigenaar van de wervingsactiviteiten, loonaankondigingen aan de eigenaar van de salarisservice en updates van medewerkers aan de eigenaar van de personeelsactiviteiten. Recordleveranciertenant, doel, Van identiteit, envelopdomein, DKIM ondertekeningsdomein en keuzeschakelaar, antwoordroutering en goedgekeurd ondersteuningscontact. Als een provider meerdere dochterondernemingen bedient, leg dan vast welke rechtspersoon en domein elk account moet gebruiken, in plaats van de groep als één ongedifferentieerde afzender te behandelen.
De inventaris moet operationele metadata bevatten, geen cv's van kandidaten, salarisgegevens of werknemersidentificaties. Bewaar al het noodzakelijke beperkte bewijsmateriaal onder passende controles op het gebied van toegang en bewaring. Foutopsporing bij authenticatie is geen toestemming om personeelsgegevens te kopiëren naar een algemeen ticket voor het oplossen van e-mailproblemen.
Begrijp wat het resultaat betekent
RFC 9989 evalueert geverifieerd domeingebruik. Het bewijst niet dat een aanbod geldig is, een loonaanpassing juist is of een recruiter bevoegd is om een toezegging te doen. Houd personeelsbeslissingen en wijzigingen in bankgegevens onder hun eigen verificatieprocessen. Een gecompromitteerd goedgekeurd account kan nog steeds geverifieerde misleidende inhoud verzenden.
Gebruik vertrouwde ontvangstsysteemresultaten en headers om de zichtbare Van-identiteit te vergelijken met de geverifieerde identiteit. Vertrouw niet op een screenshot met een leverancierslogo of een niet-vertrouwde header die door de afzender is ingevoegd. Vraag de leverancier naar de huidige, accountspecifieke aangepaste domeinprocedure en bewaar configuratiebewijs zonder inloggegevens vrij te geven.
Controleer de kennisgeving van de werknemer zonder loonbewijs te lenen
Stel dat kandidaat- en loonaankondigingen gebruik maken van ondertekeningsdomeinen die overeenkomen met hun respectievelijke Van-domeinen, terwijl employees.hr.example verschijnt in de Van van een werknemersmededeling en provider.example.net het DKIM d=-domein is. Zelfs als we ervan uitgaan dat de handtekening wordt geverifieerd, faalt deze bij strikte DKIM uitlijning. Dit zijn hypothetische identiteiten, geen ondertekende exemplaren of daadwerkelijke cryptografische controles. Een salarisresultaat kan een afzonderlijke mismatch tussen werknemers en kennisgevingen niet opheffen.
RFC 9989 paragrafen 4.4 en 5.3.5 vereisen dat u de andere relevante uitgelijnde paden in overweging neemt om het geheel compleet te maken DMARC resultaat. Voor p=reject implementatie, secties 7.4 en 8 vereisen geldige DKIM in plaats van SPF alleen. Daarnaast kan het antwoord van een kandidaat in de verkeerde wervingswachtrij terechtkomen ondanks een uitgaand bericht. Controleer de goedgekeurde antwoordbestemming met fictieve gegevens en gecontroleerde accounts, niet met echte sollicitanten of personeelsgegevens.
Test de daadwerkelijke medewerkers- en kandidaatreizen
Gebruik een goedgekeurde fictieve aanvrager en werknemersaccount in een ondersteunde testomgeving. Activeer een aanmeldingsbevestiging, een onschuldige loonaangifte en een medewerkerupdate via hun echte sollicitatieworkflows. Bevestig gecontroleerde ontvangst, authenticatie en antwoordroutering. Controleer of een reactie van een kandidaat de verwachte wervingswachtrij bereikt zonder dat de gegevens van een andere sollicitant openbaar worden gemaakt. Behandel de toegang tot documenten en de correctheid van de inhoud als afzonderlijke acceptatiecriteria.
Als de leverancier alleen zijn eigen Van-identiteit aanbiedt, moet de bedrijfseigenaar beslissen of een duidelijk gepresenteerd ondersteund adres voldoet aan de workflowbehoeften. Vervals niet de identiteit van de werkgever via een niet-ondersteunde configuratie en voeg geen brede bypass-regels toe alleen maar om een test succesvol te laten lijken. Test de ondersteunde wijzigingen opnieuw en documenteer eventuele resterende beperkingen.
Houd offboarding verbonden met het beheer van de afzenders
Beoordeel autorisaties als een uitzendcontract afloopt, een salarisaanbieder verandert of een HR-administrateur vertrekt. Bevestig de vervolgworkflow voordat u sleutels of DNS afhankelijkheden buiten gebruik stelt. Behoud een benoemde hersteleigenaar voor tijdgevoelige kandidaten- en salarisberichten. Markeer de route alleen geaccepteerd als de service-eigenaar het huidige testbewijs goedkeurt; noch een DNS record, noch een authenticatiepas is een certificering op het gebied van werkgelegenheid, privacy of naleving van regelgeving.