Potwierdź, że TransIP jest wiarygodny
To jest przewodnik publikowania DNS , a nie przewodnik wdrażania usługi pocztowej TransIP. Domena może zostać zarejestrowana w TransIP, dopóki jest ona autorytatywna serwery nazw są gdzie indziej. Przed edycją sprawdź delegację publiczną domeny i określ strefę autorytatywną. Nie przełączaj serwerów nazw tylko po to, aby udostępnić formularz DNS . Uzyskaj dokładne nazwy, typy i wartości rekordów nadawcy, wraz z istniejącym eksportem strefy i zatwierdzonym zakresem zmian.
Wpisz poprawnie nazwy i wartości
Wybierz domenę w panelu sterowania i otwórz ustawienia DNS . Edycja niestandardowa wymaga wyłączenia automatycznych ustawień TransIP. Ponowne włączenie tych ustawień może spowodować nadpisanie niestandardowych rekordów i serwerów nazw. Pole Nazwa używa @ dla wierzchołka strefy i nazw względnych dla subdomen. Zewnętrzny CNAME cel wymaga pełnej nazwy i końcowej kropki. Te zasady interfejsu są udokumentowane w źródle panelu sterowania TransIP poniżej.
Dla TXT DKIM klucz, źródło DKIM instruuje użytkowników, aby pomijali otaczające cudzysłowy i niepotrzebne ukośniki odwrotne. Używaj klucza publicznego nadawcy, nigdy wygenerowanej próbki. A selektor w subdomenie wysyłającej wymaga tej subdomeny we względnej nazwie właściciela. Używaj CNAME tylko wtedy, gdy nadawca faktycznie wydał delegację CNAME . Opublikowanie klucza nie powoduje rozpoczęcia podpisywania przez usługę wysyłającą.
Oryginalny arkusz mapowania rekordów
Poniżej znajduje się fikcyjne ćwiczenie mapowania strefy example.org , a nie konfiguracja produkcyjna. Pełna review._domainkey.news.example.org właściciela DKIM mapy do przejrzenia. _domainkey.news w polu Nazwa. A DMARC właściciel _dmarc.news.example.org mapuje na _dmarc.news. The SPF właściciel news.example.org mapuje do wiadomości. Zaznacz oczekiwane imię i nazwisko na zgłoszeniu zmiany, aby recenzent mógł wykryć przypadkowy sufiks example.org.example.org .
Zachowaj zasady SPF i DMARC jako TXT przy prawidłowych nazwach właścicieli. Nie umieszczaj pełnej linii pliku strefy, łącznie z klasą i typem, w polu Wartość. Wiele Rekordy TXT mogą współistnieć w niepowiązanych celach, ale dwie zasady SPF pod jedną ocenianą nazwą są nieprawidłowe. Długie wartości DKIM wymagają ostrożnego obchodzenia się: pobrane strony TransIP nie ustanawiają uniwersalnej procedury podziału długich ciągów. Jeśli panel odrzuci pełną wartość dostawcy, zatrzymaj się i uzyskaj aktualne wytyczne dotyczące TransIP, zamiast je obcinać.
Przed przetestowaniem poczty sprawdź publikację
Zapytaj każdy autorytatywny serwer o pełne nazwy SPF , DMARC i selektorów. Porównaj pełne wartości, łącznie z zwróconymi połączonymi ciągami TXT . W przypadku klucza delegowanego sprawdź cel CNAME i ostateczną odpowiedź TXT . Powtórz tę czynność za pomocą rekursywnego mechanizmu rozpoznawania nazw i zachowaj obserwacje TTL. Prawidłowy wyświetlacz panelu sterowania z brakiem publicznej odpowiedzi może wskazywać na nieprawidłowe uprawnienia lub niezapisane dane, a nie tylko na powolną propagację.
Dopiero wtedy wywołaj kontrolowaną wiadomość za pośrednictwem usługi wysyłającej. Wycofanie zmian po stronie DNS powinno przywrócić zmienione rekordy, a nie ponownie włączyć ustawienia automatyczne lub przywrócić całą starą strefę bez porównania niepowiązanych zmian.
Udowodnić tożsamość odbiorcy
Korzystaj z kontrolowanej zewnętrznej skrzynki pocztowej i wysyłaj przez proces produkcyjny z nieszkodliwą treścią i bez danych klientów. Zapisz nieprzetworzoną wiadomość, znacznik czasu i system odbierający Authentication-Results. Ignoruj potwierdzenia uwierzytelnienia wstawione przez niezaufanego nadawcę. Nagraj widoczną z domeny, Return-Path lub uwierzytelniona tożsamość koperty oraz każda para DKIM d= i s=. Nazwa wyświetlana lub adres zwrotny nie jest tożsamością DMARC .
Przepustka SPF autoryzuje serwer łączący dla ocenianej tożsamości koperty. Przepustka DKIM sprawdza poprawność podpisu domeny podpisującej. DMARC potrzebuje metody przekazującej, której domena jest zgodna z widocznym From: strict wyrównanie wymaga tej samej domeny; luźne dostosowanie pozwala na odpowiednią relację organizacja-domena. Podpis będący własnością dostawcy może zostać przekazany bez uwierzytelniania widocznego źródła. Jedno podanie wyrównane Podpis DKIM może spełnić DMARC nawet wtedy, gdy kolejny podpis się nie powiedzie. Te reguły protokołu pochodzą z RFC 7208 , RFC 6376 i RFC 9989, wymienione poniżej.
Przed zdiagnozowaniem pamięci podręcznych sprawdź autorytatywny DNS . Zapytaj autorytatywny serwer o dokładną nazwę i typ, a następnie porównaj rekurencyjny program tłumaczący po okresie jego istnienia w pamięci podręcznej. W przypadku DKIM podążaj za dowolną wartością CNAME do odpowiedzi TXT klucza publicznego. Nigdy nie publikuj klucza prywatnego. Zachowaj jedną zasadę SPF dla każdej ocenianej nazwy i sprawdź limit dziesięciu terminów powodujących wyszukiwanie DNS w zagnieżdżonych dołączeniach. Nie zastępuj współdzielonych zasad SPF przykładem dostawcy.
Powrót do zdrowia i akceptacja
Wstrzymaj przepływ pracy, którego to dotyczy, jeśli testy wykażą nową regresję. Porównaj zmieniony rekord z zapisaną wersją i cofnij tylko tę zmianę po sprawdzeniu innych nadawców. Sprawdź ponownie DNS i wyślij ponownie po odzyskaniu; przywrócenie wartości nie powoduje natychmiastowego opróżnienia każdego mechanizmu rozpoznawania nazw. Zachowaj dostępność starych rekordów weryfikacji DKIM , dopóki wcześniej podpisane wiadomości mogą być nadal przesyłane, chyba że incydent związany z bezpieczeństwem wymaga unieważnienia.
Zaakceptuj zmianę tylko wtedy, gdy DNS , stan aplikacji i rzeczywisty otrzymany komunikat zgadzają się. Zapisz właściciela przepływu, sygnaturę czasową dowodu i wyzwalacz następnego przeglądu. Samo umieszczenie skrzynki odbiorczej nie jest dowodem uwierzytelnienia, a pomyślne uwierzytelnienie nie gwarantuje umieszczenia skrzynki odbiorczej. Nie zaostrzaj polityki DMARC domeny współdzielonej na podstawie testu jednego dostawcy. Najpierw zinwentaryzuj inne legalne źródła.
Zdiagnozuj poprawnie wyglądający wpis w niewłaściwej strefie
W przypadku pisemnym TI-01 zakłada, że domena jest zarejestrowana w TransIP, ale jej publiczna delegacja wskazuje na innego operatora DNS . Zapisany wpis panelu TransIP do przejrzenia. _domainkey.news nie ustanawia publikacji na review._domainkey.news.example.org . Właściciel domeny musi potwierdzić wiarygodnego operatora i tam umieścić zatwierdzony zapis; zmiana serwerów nazw lub włączenie ustawień automatycznych nie jest rozwiązaniem naprawczym. Odpowiedzi publiczne, wyemitowane d=/s= i wyniki odbiornika pozostają nieznane, dopóki nie zostaną zebrane osobno. Ten scenariusz jest określony, a nie faktyczne wyszukiwanie DNS lub działanie panelu.
Zachowaj granicę egzekwowania
RFC 9989 sekcja 7.4, wymaga prawidłowego DKIM , a nie samego SPF , dla domen publikujących p=reject, i ostrzega o interoperacyjności poczty pośredniej i list mailingowych. Pojedynczy pomyślny test wiadomości bezpośredniej nie jest dowodem na to, że każda legalna droga jest gotowa na silniejszą politykę. Zachowaj istniejącą zatwierdzoną ochronę podczas diagnozowania rzeczywistej luki; każda zmiana polityki wymaga własnej decyzji.