Begin met een domein dat u kunt autoriseren
CleverReach is ingesteld DKIM guide beschrijft een workflow voor aangepaste domeinen in de accountinstellingen. Het is een nuttig uitgangspunt voor de configuratie van de authenticatie, maar het afzenderdomein moet een domein zijn dat de organisatie op legitieme wijze kan beheren. De toegang van een marketingoperator tot de campagne-interface geeft niet automatisch controle over de DNS zone of goedkeuring om de hele organisatie te wijzigen DMARC beleid.
Identificeer het account, bedoeld van domein, campagnecategorie en DNS eigenaar. Als het team een openbaar gratis e-mailadres gebruikt, probeer dan niet om records voor het domein van die provider te publiceren. De gids bespreekt de omgang met freemail-afzenderadressen, maar dit is geen vervanging voor het eigen gecontroleerde afzenderdomein van een organisatie. Plan elke zichtbare wijziging van het afzenderadres met de communicatie-eigenaar, zodat de ontvangers niet verrast worden.
Dit manuscript behandelt de gedocumenteerde DKIM opstelling. Het verzint geen SPF waarde toevoegen, beweren dat elk CleverReach-account identieke instellingen heeft, of beweren dat een geïmplementeerde tenant is gecontroleerd. CleverReach DKIM instellen
Genereer de domein- en selectorconfiguratie
De gedocumenteerde navigatie begint bij het profielpictogram, vervolgens Mijn account, Instellingen en DKIM . Voeg het beoogde domein toe via Domein toevoegen. De gids biedt ook een keuzeschakelaar optie. Behandel het domein en de selector samen als een specifieke configuratie: een andere selector leidt een verifier naar een andere DNS sleutellocatie, zelfs als het auteursadres ongewijzigd blijft.
Nadat u het domein heeft toegevoegd, gebruikt u het actiemenu om DNS instellingen weer te geven. Kopieer het gegenereerde TXT record van de instellingen van dat domein in plaats van een voorbeeld van een ander account te lenen of een conventionele selectornaam aan te nemen. Behoud de weergegeven eigenaarnaam, het type en de volledige waarde in de wijzigingsaanvraag. Registreer wie het verzoek heeft gegenereerd en tot welk account het behoort, zonder inloggegevens op te nemen.
Selectors helpen DKIM sleutels te onderscheiden; ze zijn geen belofte dat dezelfde sleutel kan worden hergebruikt door onafhankelijke leveranciers of accounts. Voordat u een bestaande eigenaarsnaam vervangt, moet u bepalen of een andere actieve configuratie hiervan afhankelijk is. Een botsing heeft een herziene oplossing nodig, geen niet-onderzochte overschrijving. Domeinconfiguratie en DNS instellingen; RFC 6376 , sectie 3.5
Publiceer de TXT waarde in de juiste zone
De DNS beheerder moet de gegenereerde eigenaarnaam toewijzen aan de gezaghebbende zone en de conventies van de editor. Sommige interfaces voegen de zonenaam automatisch toe; anderen accepteren een volledige naam. Bevestig de resulterende gepubliceerde naam in plaats van de gezichtsveldwaarde als definitief te behandelen. Het recordtype in deze CleverReach-workflow is TXT ; converteer het niet naar een CNAME simpelweg omdat een andere dienst aliassen gebruikt.
Bewaar de volledige sleutelwaarde en inspecteer de uiteindelijke DNS representatie. Een TXT record kan meerdere tekenreeksen bevatten die een applicatie combineert; die tekenreeksen zijn niet hetzelfde als verschillende onafhankelijke records met de naam van de eigenaar. Het kopiëren van geciteerde presentatietekst naar een veld dat een eigen citaat levert, kan ook een aanbiederspecifieke afhandeling vereisen. Gis niet op basis van een algemeen voorbeeld naar het gedrag van de editor. RFC 1035 , sectie 3.3.14; RFC 6376 , sectie 3.6.2.2.
De documentatie bevat voorbeelden voor DNS providers, maar het acceptatiedoel blijft de exacte beoogde naam en waarde. Een root-afkorting zoals @ mag niet worden omschreven als een universeel jokerteken voor elk subdomein. In de syntaxis van het hoofdbestand RFC 1035 geeft een zelfstandige @ de huidige oorsprong aan, niet elk subdomein; een bepaalde DNS editor kan andere invoer vereisen. RFC 1035 , sectie 5.1; Gegenereerde TXT instructies
Voer verificatie uit en interpreteer de status nauwgezet
Nadat u de record heeft gepubliceerd, keert u terug naar het actiemenu van het domein en selecteert u Verifiëren. De gids beschrijft de actieve status die volgt op een succesvolle verificatie. Houd deze providercontrole gescheiden van de DNS publicatie zelf. Een opgeslagen DNS wijziging bewijst niet dat de dienst deze heeft gecontroleerd, en een mislukte controle rechtvaardigt niet meteen het vervangen van de sleutel of het aanmaken van een nieuwe domeininvoer.
Wanneer een controle niet slaagt, vergelijk dan eerst de beoogde eigenaarsnaam, gezaghebbende zone, volledige TXT waarde en domeinselectie. Houd dan rekening met de publicatietiming en de gegevens in de cache. De aanbieder bespreekt vertragingen bij de voortplanting, maar een aangegeven wachtinterval mag geen garantie zijn dat een onjuist record zichzelf uiteindelijk zal herstellen. Bewaar het tijdstempel en de exacte status, zodat een latere controle zinvol kan worden vergeleken.
De status betreft de door CleverReach onderzochte configuratie. Het is geen afgeleverd berichtrapport en bewijst niet op onafhankelijke wijze met welk domein een specifieke campagne heeft getekend. Dit onderscheid is vooral belangrijk wanneer een organisatie meerdere afzenderdomeinen of oudere geplande campagnes heeft. Controle- en statusbegeleiding
Controleer de uitlijning op de geselecteerde campagneroute
De voorgestelde eindcontrole is een geautoriseerd representatief campagnebericht dat wordt geïnspecteerd bij het ontvangende systeem. Registreer het zichtbare Van domein, DKIM d= domein, selector en vertrouwd validatieresultaat. Vergelijk de passerende ondertekeningsidentiteit met het auteurdomein met behulp van de toepasselijke DMARC uitlijning modus. Concludeer niet dat er sprake is van afstemming alleen maar omdat beide domeinen de merknaam van de organisatie bevatten.
SPF en DKIM zijn afzonderlijke authenticatiemechanismen. DMARC kan een passerende, uitgelijnde identiteit gebruiken, maar een DKIM installatieartikel brengt niet de volledige SPF configuratie van elke productroute tot stand. Als SPF moet worden gecontroleerd, verkrijg dan de daadwerkelijke envelopidentiteit en de huidige providerinstructies in plaats van een veronderstelde include toe te voegen aan het hoofddomein.
Een passerend uitgelijnd bericht levert bewijs voor dat monster en die route. Het belooft geen plaatsing in de inbox, betrokkenheid, toestemmingskwaliteit of veiligheid van het zakelijke verzoek van het bericht. Houd leveringsobservaties en beslissingen over inhoudsrisico's in hun eigen werkstromen. RFC 9989 , sectie 4.4; RFC 7208 , sectie 2.4
Acceptatiewerkblad voor campagnebeheerders
Gebruik dit voorgestelde werkblad om het configuratieverzoek te koppelen aan het definitieve bewijsmateriaal. Vul het afzonderlijk in voor elk domein of voor een materieel verschillend traject.
- Domeineigendom: geef de naam van het account, het beoogde afzenderdomein, de communicatie-eigenaar en DNS beheerder op.
- Gegenereerde configuratie: behoud het geselecteerde domein, de selector en de uitgegeven TXT eigenaar/waarde uit DNS instellingen weergeven.
- Collision review: identificeer elke bestaande sleutel met dezelfde naam en de actieve afhankelijkheden ervan voordat u deze wijzigt.
- DNS publicatie: noteer de goedgekeurde wijziging, de verwachte volledig gekwalificeerde naam van de eigenaar en verificatiebewijs.
- Providerverificatie: registreer het tijdstip waarop Verify werd aangevraagd en de daadwerkelijk geretourneerde status.
- Campagnevoorbeeld: registreer de geselecteerde meldings- of campagneklasse en de waargenomen auteurs-/ondertekenaarsidentiteiten.
- Vrijgavebesluit: benoem de reviewer, resterende hiaten en rollback-eigenaar in plaats van alle campagnes vanaf één scherm gereed te markeren.
Er heeft hier geen accountaanmelding, DNS publicatie of campagneoverdracht plaatsgevonden. Het werkblad is een origineel acceptatieontwerp en geen ingevuld implementatierecord.
Fictieve diagnose: actief domein, onverwachte afzender
Een fictieve ledenorganisatie configureert DKIM voor news.example en krijgt een actieve status. De volgende campagne staat nog steeds gepland met een ouder Van-adres op events.example . De reviewer ziet het actieve domein in de instellingen en gaat er in eerste instantie van uit dat de campagne moet aansluiten. De twee observaties hebben betrekking op verschillende identiteiten, dus de conclusie wordt niet ondersteund.
Het voorgestelde onderzoek begint met de geconfigureerde afzender van de campagne en het ondertekeningsdomein van het ontvangen bericht. Het team controleert of het beoogde domein voor die route is geselecteerd en beoordeelt vervolgens de relevante afstemmingsrelatie. De werkende news.example -sleutel wordt niet verwijderd om een niet-gerelateerde campagne te repareren. De uiteindelijke overdracht onderscheidt de geverifieerde configuratie van de campagne waarvoor nog bewijs nodig is. Dit scenario is fictief en bevat geen uitgevoerde DNS zoekopdracht of testverzending.