HR-systemer kan sende meldinger som ser ut som intern post, men som stammer fra rekrutteringsplattformer, lønnsleverandører og applikasjoner for ansattes tjenester. Den første oppgaven er å identifisere organisasjonens faktiske konto og eier for hver rute. Et gjenkjennelig leverandørmerke er ikke bevis på at en bestemt kandidat-e-post eller lønnsmelding ble autorisert av arbeidsgiveren.
Del eierskapet før du endrer policy
Tilordne rekrutteringsmeldinger til eieren av rekrutteringsoperasjoner, lønnsmeldinger til eieren av lønnstjenesten og medarbeideroppdateringer til eieren av personaloperasjoner. Registrer leverandørens leietaker, formål, fra identitet, konvoluttdomene, DKIM signering av domene og velger, svarruting og godkjent støttekontakt. Hvis en leverandør betjener flere datterselskaper, noter hvilken juridisk enhet og domene hver konto er ment å bruke i stedet for å behandle gruppen som én udifferensiert avsender.
Inventaret skal inneholde operasjonelle metadata, ikke kandidat-CVer, lønnsdetaljer eller medarbeideridentifikatorer. Lagre nødvendig begrenset bevis under passende tilgangs- og oppbevaringskontroller. Autentiseringsfeilsøking er ikke tillatelse til å kopiere personelldata til en generell e-postfeilsøkingsbillett.
Forstå hva resultatet betyr
RFC 9989 evaluerer autentisert domenebruk. Det beviser ikke at et tilbud er gyldig, en lønnsjustering er riktig eller en rekrutterer har fullmakt til å forplikte seg. Hold ansettelsesbeslutninger og endringer i bankdetaljer under deres egne verifiseringsprosesser. En kompromittert godkjent konto kan fortsatt sende autentisert villedende innhold.
Bruk pålitelige mottakssystemresultater og overskrifter for å sammenligne den synlige From-identiteten med den autentiserte identiteten. Ikke stol på et skjermbilde som inneholder en leverandørlogo eller en upålitelig overskrift satt inn av avsenderen. Spør leverandøren om dens nåværende, kontospesifikke egendefinerte domeneprosedyre og behold konfigurasjonsbevis uten å avsløre legitimasjon.
Sjekk ansattes varsel uten å låne lønnsbevis
Anta at kandidat- og lønnsmeldinger bruker signeringsdomener som samsvarer med deres respektive From-domener, mens employees.hr.example vises i en ansattmeldings From og provider.example.net er dets DKIM d=-domene. Selv forutsatt at signaturen bekrefter, mislykkes den strenge DKIM justering. Dette er hypotetiske identiteter, ikke signerte prøver eller faktiske kryptografiske kontroller. Et lønnsresultat kan ikke lukke en egen ansatt-varsel mismatch.
RFC 9989 avsnitt 4.4 og 5.3.5 krever å vurdere de andre relevante justerte banene for en fullstendig DMARC resultat. Til p=reject distribusjon, avsnitt 7.4 og 8 krever gyldig DKIM i stedet for SPF alene. Separat kan et kandidatsvar nå feil rekrutteringskø til tross for en bestått utgående melding. Bekreft den godkjente svardestinasjonen med fiktive poster og kontrollerte kontoer, ikke ekte søkere eller personelldetaljer.
Test selve medarbeider- og kandidatreisene
Bruk en godkjent fiktiv søker- og ansattkonto i et støttet testmiljø. Utløs en søknadsbekreftelse, et ufarlig lønnsvarsel og en ansattoppdatering gjennom deres virkelige søknadsarbeidsflyt. Bekreft kontrollert mottak, autentisering og svarruting. Sjekk at en kandidatbesvarelse når forventet rekrutteringskø uten å avsløre en annen søkers detaljer. Behandle dokumenttilgang og innholdsriktighet som separate akseptkriterier.
Hvis leverandøren kun tilbyr sin egen From-identitet, bør bedriftseieren avgjøre om en tydelig presentert støttet adresse oppfyller arbeidsflytbehovene. Ikke forfalsk arbeidsgiverens identitet gjennom en konfigurasjon som ikke støttes, eller legg til brede bypass-regler bare for å få en test til å virke vellykket. Test støttede endringer på nytt og dokumenter eventuelle gjenværende begrensninger.
Hold offboarding koblet til avsenderstyring
Gjennomgå autorisasjoner når en byråkontrakt avsluttes, en lønnsleverandør endres eller en HR-administrator slutter. Bekreft etterfølgerarbeidsflyten før du trekker tilbake nøkler eller DNS avhengigheter. Behold en navngitt gjenopprettingseier for tidssensitive kandidat- og lønnsmeldinger. Merk ruten som akseptert bare når tjenesteeieren godkjenner gjeldende testbevis; verken en DNS post eller et autentiseringspass er en sertifisering for ansettelse, personvern eller forskriftsoverholdelse.