Een bericht dat in een Workspace-mailbox of -groep wordt afgeleverd, kan een tweede reis ondergaan voordat het de uiteindelijke lezer bereikt. De volgende ontvanger ziet de doorsturen systeemverbinding en is het bericht mogelijk gewijzigd. Test het bestaande pad, niet een geïdealiseerd monster voor directe levering.
Teken het pad voordat u DNS inspecteert
Registreer de oorspronkelijke afzender, de initiële Workspace-ontvanger of -groep, elke uitbreidings- of doorstuuractie en de uiteindelijke externe ontvanger. Maak onderscheid tussen een mailboxdoorstuurregel, een groepsdistributie en een routeringsregel. Merk op of de groep het gedrag van het onderwerp, de voettekst, het Van-veld of het antwoord wijzigt. Dit zijn observaties die u kunt verzamelen op basis van uw daadwerkelijke instellingen en berichten, en geen universele beweringen over elke Google-groep.
Bewaar een kopie voordat u deze, indien beschikbaar, en het onbewerkte definitieve bericht doorstuurt. Koppel ze aan bericht-ID's en tijdstempels, zodat een tussenpersoon een nieuwe ID genereert. Leg de volledige foutmelding vast als de levering wordt afgewezen. Een generiek bouncelabel kan het mislukte authenticatiemechanisme niet identificeren.
Inspecteer de gedocumenteerde bedieningselementen van Google Discussiegroepen
De Google Discussiegroepen-instellingen verwijzen naar documenten Standaardafzender onder Postbeleid, met het adres van de auteur of de groep als opties, en een afzonderlijke toestemming Wie kan posten als groepsmachtiging. Leg beide instellingen vast in plaats van ervan uit te gaan dat elke poster de groepsidentiteit kan gebruiken. Hiermee wordt het beschikbare besturingselement geverifieerd, en niet het Van-veld dat door uw specifieke levering wordt geproduceerd.
Een eigenaar of manager kan de groepsinstellingen en vervolgens de e-mailopties bekijken. Google documenteert een onderwerpvoorvoegselcontrole en standaard of aangepaste e-mailvoettekstopties. Behoud hun huidige waarden vóór een goedgekeurde test; verander één instelling tegelijk in een gecontroleerde groep. De afzonderlijke optie Reacties posten op regelt de standaardontvangers van antwoorden, niet DMARC uitlijning. Deze productspecifieke kenmerken verklaren waarom het testplan onderwerp-, lichaams- en identiteitsvergelijkingen omvat.
De voettekstinstructies van Google zeggen dat je een bericht moet inspecteren dat is ontvangen van de groep in Gmail : de voettekst wordt niet weergegeven in de gespreksweergave van Groepen, in de map Verzonden Gmail of in een kopie waarop je in de CC was geplaatst. Bewaar voor authenticatieanalyse bovendien het uiteindelijk afgeleverde onbewerkte bericht van het beoogde distributiepad. Een scherm waarin de voettekst wordt weggelaten, mag niet worden aangezien voor een bewijs dat er geen wijziging heeft plaatsgevonden. Deze officiële instructies stellen het kenmerkmodel vast; alleen voor-en-na-berichten kunnen vaststellen of een bepaald ondertekend veld is gewijzigd en welke handtekening bewaard is gebleven.
Scheid SPF -reparatie van de uitlijning van het oorspronkelijke domein
Doorsturen verandert het IP-adres dat verbinding maakt met de uiteindelijke ontvanger. Het oorspronkelijke domein SPF beleid mag die tussenpersoon niet machtigen. De door Google aangehaalde doorstuurrichtlijnen hebben specifiek betrekking op e-mail die wordt doorgestuurd naar Gmail . Het is geen specificatie van de uitgaande standaardinstellingen van Google Discussiegroepen. Voor beheerders die dit doorstuurpad gebruiken, wordt aanbevolen om de envelop afzender naar een doorstuurdomeinidentiteit en autoriseer de doorstuurservice in het SPF beleid van dat domein. Dat kan het SPF resultaat van de doorstuuridentiteit herstellen zonder het uit te lijnen met het oorspronkelijke zichtbare Van-domein.
Voeg niet elke mogelijke doorstuurservice toe aan die van de oorspronkelijke afzender SPF record. U heeft mogelijk geen controle over dat domein, en de wijziging zou de oorspronkelijke verzendautorisatie verwarren met downstream-routering. Als de doorstuurprogramma de afzender herschrijft, bevestig dan het ondersteunde gedrag ervan en test de resulterende identiteit in plaats van uit te gaan van een bepaalde implementatie.
Behoud een overgebleven DKIM pad
Google adviseert wijzigingen in ondertekende kopteksten en hoofdtekst te vermijden, omdat wijzigingen ongeldig kunnen worden DKIM. Inspecteer het d= domein van de originele handtekening, keuzeschakelaar en ontvangerresultaat na de laatste hop. Een tweede handtekening van de doorstuurservice komt niet automatisch overeen met het Van-domein van de oorspronkelijke auteur.
ARC, of Geauthenticeerde ontvangen keten, indien aanwezig, voert een voorafgaande authenticatiebeoordeling uit via tussenpersonen. Het verandert niet elk doorgestuurd bericht in een DMARC -pas en dwingt een ontvanger niet om de keten te vertrouwen. Registreer ARC resultaten en de beslissing van de uiteindelijke ontvanger afzonderlijk. Google voert expliciet eigen authenticatiecontroles uit op doorgestuurde berichten.
Vergelijk drie gecontroleerde gevallen
Deze originele testmatrix beschrijft de verwachte redenering en niet de waargenomen Google-resultaten. Gebruik een geautoriseerd afzenderdomein en een gecontroleerde groep en inboxen.
- Casus: Directe controle; Wat verandert: geen groeps- of doorstuurstap; Wat te vergelijken: Baseline SPF , DKIM en DMARC identiteiten.
- Casus: ongewijzigd vooruit; Wat verandert: IP aansluiten en eventueel envelop; Wat te vergelijken: Of het origineel uitgelijnd is DKIM -handtekening overleeft.
- Case: groepsuitgevouwen bericht; Wat verandert: daadwerkelijk geconfigureerde groepstransformaties; Wat te vergelijken: integriteit van ondertekende inhoud, zichtbaar van, alle handtekeningen en ARC .
Stel bijvoorbeeld dat From author@example.com is, een forwarder herschrijft de envelop naar forwarding.example.net en SPF geeft daar door. Als de originele d=example.com -handtekening geldig blijft, kan deze DMARC uitlijning bieden. Als die handtekening mislukt en de enige overgebleven geldige handtekening d=example.net, komt geen van beide vermelde paden overeen met example.com . In deze illustratie wordt ervan uitgegaan dat er geen extra uitgelijnde handtekening is; de curator kan nog steeds zijn eigen lokale dispositiebeleid hanteren.
Repareer het kleinste verantwoordelijke onderdeel
Als een voettekst de overgebleven handtekening verbreekt, bekijk dan die transformatie of het door de provider ondersteunde groepsgedrag. Als de zichtbare Van-identiteit opzettelijk wordt herschreven, beoordeel dan de authenticatie voor de nieuwe identiteit en of de presentatie nog steeds het doel van de groep dient. Schakel de domeinbeveiliging niet globaal uit om één distributiepad te kunnen leveren.
Bewaar het paddiagram, de herziening van de instellingen, de geredigeerde voor-en-na-koppen en het eindresultaat. Voer de vergelijking opnieuw uit na wijzigingen in de groepsinstellingen, routeringsupdates, nieuwe gateways, ondertekeningsroulatie of een beleidswijziging van een ontvangende provider. Authenticatieresultaten vormen één van de input voor de levering; Klachten- en misbruikcontroles zijn nog steeds van belang, zelfs als de technische keten geldig is.
Bewaar een minimaal vergelijkingsrecord
Registreer voor elk gecontroleerd pad de revisie van de instellingen, originele en definitieve bericht-ID's, UTC-tijden, zichtbare Van, envelop-identiteit, alle DKIM ondertekenaars en vertrouwde ontvangerresultaten. Voeg het nauwkeurig gewijzigde veld- of lichaamsgebied toe waar het bewijs dit toelaat. Bewaar een apart onbekend veld voor een niet-beschikbare vooraf doorgestuurde kopie. Een afwezig origineel kan niet vaststellen welke tussenpersoon de boodschap heeft gewijzigd.