Toepassingsgebied: Afrihost gedeelde hosting en cPanel
Afrihost publiceert afzonderlijke instructies voor het verkrijgen van authenticatierecords in cPanel en het toevoegen ervan via de Shared Hosting DNS Editor van ClientZone. Deze gids volgt die gedocumenteerde route. Hieruit wordt niet afgeleid dat Afrihost Pure Mail, een externe mailboxprovider, of elk hostingpakket identieke records of ondertekeningscontroles gebruikt. Breng het daadwerkelijke e-mailproduct en de gezaghebbende DNS service tot stand voordat u een wijziging voorbereidt. De accountspecifieke waarden en de huidige toepasbaarheid van de interface blijven niet geverifieerd.
Die van de aanbieder SPF Generatie-instructies gebruiken het gebied E-mailbezorgbaarheid van cPanel: selecteer Beheren naast het domein, zoek SPF en kopieer de waarde ervan. Zijn DKIM instructies gebruiken hetzelfde gebied en de actie De voorgestelde record installeren. Dit zijn voorgestelde operatorstappen, geen acties die voor dit manuscript worden uitgevoerd. Afrihost SPF generatie Afrihost DKIM generatie
Aparte generatie, publicatie en ondertekening
Een voorgesteld record is een bewijs van wat een bepaalde configuratie-interface aanbeveelt. Het is geen bewijs dat de openbaar gezaghebbende zone die waarde bevat of dat een bericht is ondertekend en met succes is geverifieerd. Bewaar de domeincontext naast de voorgestelde record. Een beheerder die een waarde van het verkeerde hostingaccount kopieert, kan een plausibel ogend maar irrelevant wijzigingsverzoek indienen.
Voor DKIM moet u onderscheid maken tussen openbaar verificatiemateriaal en privé ondertekeningsmateriaal. Het DNS record bevat openbare sleutelinformatie. Privésleutels mogen niet op het acceptatiewerkblad worden verzameld of in een ticket worden geplakt. Het protocol verbindt de handtekening van een bericht met een ondertekeningsdomein en keuzeschakelaar; die identificatiegegevens bepalen waar een verificateur naar de sleutel zoekt. Een visueel vergelijkbaar domein of een generiek accountlabel kunnen deze niet vervangen. RFC 6376 , DKIM-Signature en sleutelopslag
In het artikel over het maken van DKIM van Afrihost staat dat de record naar het DNS cluster van het domein kan worden gekopieerd nadat de voorgestelde record is geïnstalleerd. Beschouw dit als een reden om vast te stellen wie daadwerkelijk gezaghebbende DNS bedient. Voor een lokale hostingweergave en een extern beheerde openbare zone is mogelijk een ander publicatie-eigendom vereist. Trek niet de conclusie dat het openbare record alleen maar is gewijzigd omdat een lokale interface een succesmelding weergaf. Afrihost DKIM generatie
Bereid de SPF wijziging voor zonder andere afzenders te verwijderen
Het gedocumenteerde ClientZone-pad is Hosting, het domein onder Shared Hosting, Hosting-instellingen, DNS editor en vervolgens Nieuwe record maken. Voor SPF specificeert het artikel TXT , een leeg prioriteitsveld, de gekopieerde SPF inhoud en TTL 7200. Dat interfacerecept rechtvaardigt niet het creëren van een tweede SPF beleid als er al een bestaat. Controleer het bestaande beleid en voeg alleen de goedgekeurde autorisatiewijzigingen samen. Afrihost SPF -publicatie
SPF evalueert de SMTP identiteit, inclusief MAIL VAN, in plaats van simpelweg te vertrouwen op het voor mensen leesbare Van-veld. Inventariseer toepassingen die de relevante identiteit opvragen voordat het beleid wordt gewijzigd. Gehoste mailboxinzendingen, websitemeldingen en een externe marketingtool kunnen verschillende enveloppen en infrastructuur hebben. Ga er niet van uit dat een cPanel-standaard elke service omvat die de organisatie heeft aangenomen. RFC 7208 , HELO en MAIL FROM-identiteiten
Bewaar één toepasselijk SPF beleid op de naam van de eigenaar. Controleer geneste include-termen en andere DNS-querytermen aan de hand van de geëvalueerde termlimiet van het protocol. Een kort beleid op het hoogste niveau kan nog steeds een buitensporig afhankelijkheidstraject kennen. Leg de beoordelingsmethode en bewijstijd vast, maar bestempel een niet-uitgevoerd plan niet als een succesvolle live evaluatie. Een in de cache opgeslagen antwoord doet geen afstand van de evaluatieregels. RFC 7208 , meerdere records en DNS opzoeklimieten
Los de onduidelijkheid over de DKIM -eigenaar op vóór publicatie
DKIM publicatiepagina van Afrihost beschrijft de ClientZone-route en plakt een DKIM TXT waarde. De tekst bevat echter een instructiekop met SPF-label en een algemeen domeinnaamveld in plaats van een volledige accountspecifieke selector-eigenaar. Deze details vormen geen veilige basis voor het bedenken van een top DKIM -record. Verkrijg en controleer de volledige gegenereerde naam en waarde voor het daadwerkelijke domein, en los de naamgevingsconventie van de redacteur op voordat u publicatie autoriseert. Afrihost DKIM publicatie
Onder DKIM vormen het selector- en ondertekeningsdomein de sleutelzoeknaam onder _domainkey . De daadwerkelijke selector moet afkomstig zijn uit de ondersteunde configuratie van het account en overeenkomen met de berichten die worden ondertekend. Geef geen geraden selector op alleen maar omdat een andere dienst er gebruik van maakt. Dezelfde regel is van toepassing op een gekopieerde publieke sleutel: de syntaxis alleen garandeert niet dat de beoogde ondertekenaar de corresponderende privésleutel bezit. RFC 6376 , sleutelopslag
Bevestig of de redacteur een relatief label of een volledige naam van de eigenaar verwacht. DNS masterbestandsconventies omvatten een huidige oorsprong, maar grafische editors zijn productinterfaces en hebben hun eigen interpretatie nodig. Het acceptatiecriterium is de resulterende, volledig gekwalificeerde naam van de eigenaar, niet of de operator een bekende afkorting heeft getypt. RFC 1035 , masterbestandsformaat
Interpreteer de authenticatieresultaten nauwgezet
Sommige inleidende formuleringen van de provider beschrijven DKIM als het voorkomen van spam of het verbeteren van de bezorging. Maak van deze beschrijving geen garantie. DKIM biedt een cryptografische handtekening en een toewijsbare ondertekeningsidentiteit; het is geen versleuteling van de berichttekst en garandeert niet dat elke zakelijke instructie in het bericht veilig is. Een geldige handtekening onderscheidt zich ook van DMARC uitlijning. RFC 6376 , introductie
Voor de daadwerkelijke verzendroute moet een acceptatiebeoordeling een passerende SPF of DKIM identiteit relateren aan het zichtbare auteurdomein. DMARC kan elk kwalificerend uitgelijnd mechanisme passeren. Een afzonderlijk bestaande DNS record brengt die relatie voor een bericht niet tot stand. Authenticatie garandeert evenmin de bezorging, omzeilt het filteren van ontvangers of bewijst niet dat een account niet is misbruikt. RFC 9989 , uitlijning en reikwijdte van identificatie
Fictieve diagnose: de verkeerde publicatie-eigenaar
Stel je een fictieve vereniging voor genaamd Cedar Trail Club. De vrijwilliger verkrijgt een voorgesteld DKIM record van het juiste cPanel-domein en kopieert vervolgens alleen de waarde naar een DNS wijzigingsverzoek. Een andere operator gaat ervan uit dat het record in de root thuishoort, omdat het verzoek geen selector-eigenaar bevat. Dit is een verzonnen planningsscenario, geen claim over een Afrihost-klant of een hier uitgevoerde test.
De reviewer wijst het onvolledige verzoek af zonder een selector te raden. De eigenaar van de applicatie moet het volledige gegenereerde openbare record verstrekken en de beoogde ondertekeningsroute identificeren. De DNS operator moet de gezaghebbende zone en de daaruit voortvloeiende naam van de eigenaar bevestigen. De release-eigenaar heeft dan daadwerkelijk berichtbewijs nodig, verkregen via een geautoriseerd proces, voordat hij ondertekening en afstemming accepteert. De corrigerende les is om de relatie tussen de gegenereerde context, de locatie van de publieke sleutel en de identiteit van het bericht te behouden, in plaats van een geplakte waarde als een volledige configuratie te behandelen.
Blanco werkblad voor operationele acceptatie
Dit werkblad is een voorstel. Er is geen cel vooraf gevuld met een verzonnen accountresultaat.
- Hostingproduct, pakket en domeincontext: ______
- Geautoriseerde cPanel-operator en goedkeuringsreferentie: ______
- Gezaghebbende DNS provider en zone-eigenaar: ______
- Bestaand SPF beleid en legitieme afzenderinventaris: ______
- Voorgestelde SPF waarde en beoordeeld samengevoegd beleid: ______
- Volledig gegenereerde DKIM eigenaarnaam en openbare waarde: ______
- Interpretatie van de naam van de redacteur en conflictcontrole: ______
- Observatie van openbare registers, tijdstempel en reikwijdte: ______
- Werkelijke berichtenkiezer, ondertekeningsdomein en envelopidentiteit: ______
- Authenticatie- en uitlijningsbewijs: ______
- Terugdraaien, verantwoordelijke eigenaar en vrijgavebesluit: ______
Publicatie en operationele bewaarplichten
Toepasselijkheid van accounts, huidige productcontroles, DNS publicatie, ondertekeningsactivering en verificatie van ontvangen berichten blijven open. Er is geen account geopend, er is geen voorgestelde record geïnstalleerd, er is geen DNS record gemaakt en er is geen testbericht verzonden. Beoordeling van menselijke onderwerpen, toepasbaarheid van bronnen, origineel catalogusbewijs, productieroutes, visuele toegankelijkheid en vrijgave van de eigenaar zijn ook mogelijk. Het ontwerp vervangt het vereiste implementatiebewijs van de catalogus niet door deze fictieve diagnose of door de instructieve succesformulering van de aanbieder.