Bronvaluta: de bewaarde Adestra Authenticated Domains-pagina is voor het laatst gewijzigd op 16 april 2019; de pagina Gedelegeerde domeinen is voor het laatst gewijzigd op 6 april 2020. Deze publicatiedata verschillen van de datum van bronregistratie. Controleer of de lopende rekening van toepassing is bij Adestra voordat u actie onderneemt.
Kies het domeinmodel voordat u records bewerkt
De officiële current-path-documentatie van Adestra beschrijft twee verschillende domeinmodellen in de MessageFocus-interface: geverifieerde domeinen en gedelegeerde domeinen. Ze mogen niet worden gecombineerd in één algemene checklist. Een geverifieerd domein behoudt een andere configuratierelatie dan een subdomein dat aan de service is gedelegeerd CNAME of NS-records. Bepaal eerst welk model het account gebruikt en waarom de organisatie hiervoor heeft gekozen.
Leg het product, het account, de campagneroute, het beoogde Van-adres en de bedrijfseigenaar vast. Een leveranciersnaam alleen bepaalt niet de exacte identiteit van de envelop of handtekening van een ontvangen bericht. Dit artikel beschrijft de bewaarde productdocumentatie en een voorgesteld verificatieproces; het claimt geen toegang tot een live Adestra-account en bewijst ook niet dat elk beschikbaar account dezelfde instellingen gebruikt. Adestra-geauthenticeerde domeinen; Adestra gedelegeerde domeinen
Controleer SPF van het geverifieerde domein zonder andere afzenders te vervangen
De gids voor geverifieerde domeinen instrueert organisaties met een bestaand SPF record om msgfocus.com in dat beleid op te nemen. Het waarschuwt ook dat een nieuw beleid rekening moet houden met andere legitieme bronnen. Behandel het gedocumenteerde mechanisme als productspecifiek bewijs, en niet als toestemming om het volledige beleid van een organisatie te vervangen door een voorbeeld. Bewaar het originele document, het eigendom en alle beoogde routes voordat u een bewerking voorstelt.
De bron maakt gebruik van legacy SPF/Afzender-ID-vocabulaire. De interpretatie van het manuscript maakt gebruik van huidige SPF concepten en zet die formulering niet om in een aanbeveling om een afzonderlijk historisch Sender-ID-beleid in te voeren. SPF evalueert de opgegeven identiteit, terwijl DMARC hangt bovendien af van uitlijning. Een applicatiestatus die zegt dat het SPF record er acceptabel uitziet, zorgt niet onafhankelijk voor een uitgelijnde authenticatie voor het uiteindelijke bericht.
De gedocumenteerde workflow voegt het geconfigureerde domein toe via de domeineninterface in het beheerdersgebied en geeft de configuratiestatus weer. Leg de daadwerkelijk door het account gegenereerde of gevalideerde status vast tijdens een latere geautoriseerde beoordeling. Beweer niet dat hier een status is waargenomen. Adestra-geauthenticeerde domeinen; RFC 7208 , sectie 2.4 en 3.2
Behandel aangepaste DKIM als de gedocumenteerde ondersteunde functie
Voor geverifieerde domeinen worden de behouden gidslabels aangepast DKIM een On Demand-functie en verwijst klanten naar hun accountmanager of ondersteuning voor installatie. Er staat dat voor elk geverifieerd domein dat wordt gebruikt voor ondertekening de DNS moet worden geconfigureerd. Dat rechtvaardigt niet dat er iets universeels wordt uitgevonden keuzeschakelaar, sleutel of zelfbedieningsactiveringsvolgorde.
Bereid de exacte domeinen voor en stuur de inventaris door vóór een ondersteuningsverzoek, maar verstuur het verzoek niet zonder toestemming. Gebruik de openbare waarden die voor het daadwerkelijke account zijn opgegeven en zorg voor een duidelijk onderscheid tussen openbaar DNS materiaal en privé-ondertekeningssleutels. Upload of onthul nooit een privésleutel alleen maar omdat een generieke handleiding suggereert dat u er ergens anders een moet genereren.
Na de installatie beschrijft de handleiding domeinoverzichtindicaties van configuratieproblemen. Deze indicaties zijn nuttig accountbewijs, maar vervangen niet de verificatie van ontvangen berichten. DKIM is een handtekeningmechanisme, geen berichtversleuteling; beschrijvingen die suggereren dat ontvangers het bericht met de publieke sleutel decoderen, mogen niet worden gebruikt om de beveiligingseigenschappen ervan uit te leggen. Adestra-geauthenticeerde domeinen; RFC 6376 , sectie 1 en 3.5
Beoordeel de gedelegeerde route als een wijziging van de controlegrens
De gids voor gedelegeerde domeinen vereist dat u eigenaar bent van de gekozen naam en controleert of deze niet al voor een ander doel wordt gebruikt. Er wordt een subdomein aanbevolen, zodat het bovenliggende domein andere functies kan blijven vervullen. Zij documenteert CNAME en NS-delegatie en adviseert de afstemming met de accountmanager. Dit zijn wijzigingen in DNS -controle en -afhankelijkheden, en niet louter cosmetische merkkeuzes.
Voor het gedelegeerde model zegt de bron dat de dienst de relevante MX / TXT / SPF -records aanlevert en waarschuwt dat het toevoegen van extra records voor problemen kan zorgen. Pas de SPF instructies voor het geverifieerde domein niet blindelings toe op de gedelegeerde naam. Inventariseer bestaande documenten en begrijp wat de gekozen delegatiemethode toestaat voordat u om goedkeuring vraagt.
De gids zegt dat campagnes standaard ondertekenen met msgfocus.com wanneer aangepaste DKIM niet is geconfigureerd, en beschrijft de weergave van openbare sleutels en activeringsopties voor aangepaste configuratie. Een standaardhandtekening wordt niet automatisch afgestemd op het zichtbare Van-domein van een organisatie. Behoud dat identiteitsonderscheid bij het plannen van de verificatie. Adestra gedelegeerde domeinen
Acceptatiewerkblad voor het exacte campagnetraject
Gebruik een werkblad met domeinmodel, account, route-eigenaar, Van domein, beoogde envelopidentiteit, beoogd ondertekeningsdomein, selector, relevante DNS eigenaren, huidige status en voorgestelde status. Voor gedelegeerde domeinen vermeldt u de bestaande services die getroffen kunnen worden en de ondersteunde herstelroute. Voeg voor geverifieerde domeinen de bevestigde, ondersteunde DKIM -configuratie en de volledige SPF beleidsbeoordeling toe.
In het berichtbewijsgedeelte moet een geautoriseerd ontvangen voorbeeld van het Van-domein worden vastgelegd, Return-Path of toepasselijke envelopidentiteit, DKIM d= en s= waarden, authenticatieresultaten van vertrouwde ontvangers en de verzendworkflow. Onderscheid het ruwe SPF en DKIM succes van DMARC uitlijning. Houd niet-gerelateerde ontvangergegevens en berichtinhoud waar mogelijk buiten de bewaarde steekproef.
Voor acceptatie is bewijs nodig dat de beoogde productieroute de verwachte identiteiten gebruikt, en niet alleen dat de DNS waarden zijn ingevoerd. Een voorbeeld of een ander campagnepad vertegenwoordigt mogelijk niet de route die wordt goedgekeurd. Leg onbekende zaken vast en leid het succes van uw account niet af uit één onverklaard bericht.
Fictieve diagnose: bekend gebarendomein, verkeerde conclusie
Stel je een fictieve organisatie voor die een geverifieerd domein toevoegt en een acceptabele SPF status ziet. Een later hypothetisch bericht bevat nog steeds een standaardserviceondertekeningsdomein in plaats van het verwachte aangepaste domein. Voor dit voorbeeld is geen daadwerkelijk bericht of account geïnspecteerd. De juiste diagnose is niet dat alle authenticatie voltooid is louter en alleen omdat: DKIM -handtekening bestaat.
De recensent zou bevestigen of er aangepaste DKIM was aangevraagd en geconfigureerd voor dat specifieke domein, en vervolgens de uitlijning en de feitelijke identiteit van de envelop inspecteren. Als de organisatie in plaats daarvan een gedelegeerd subdomein gebruikt, zou de reviewer DNS en accountworkflow van dat model volgen in plaats van records toe te voegen uit de checklist voor het geverifieerde domein.
Een voorgestelde volgende stap is een geautoriseerde, nauwgezette beoordeling van accounts/ondersteuning en vergelijking van ontvangen berichten. Het is niet de bedoeling een selector uit te vinden of SPF record van de organisatie te vervangen door een voorbeeld van een derde partij. Het fictieve geval laat zien waarom modelselectie en berichtbewijs met elkaar verbonden moeten blijven.
Operationeel bewijs blijft open
De catalogus vereist actueel installatiebewijs van de eerste partij en een identiteitstabel van ontvangen berichten van het exacte product en de exacte route. De bewaarde handleidingen ondersteunen de documentaire workflow, maar er is geen accounttoepasselijkheid, DNS antwoord of tabel met ontvangen berichten geverifieerd. Er heeft geen ondersteuningscontact, recordbewerking, domeindelegatie of berichtverzending plaatsgevonden.
Alle zes de vrijgavepoorten blijven open. Een gekwalificeerde beoordelaar moet bevestigen dat het huidige account de beschreven route volgt, dat eventuele ondersteunde configuraties voltooid zijn en dat het bewijs van het uiteindelijke bericht de afstemming ondersteunt. Het ontwerp mag pas worden gepresenteerd als een succesvolle Adestra-implementatie als deze artefacten bestaan.