Ustal, czy udokumentowany przepływ pracy w zakresie hostingu nadal obowiązuje
Publiczność Neostrady DKIM przewodnik opisuje konto hostingowe cPanel połączone z oddzielnym edytorem DNS konta klienta. Wyświetlana data aktualizacji to 22 września 2020 r.; towarzyszący SPF przewodnik jest datowany na 2 maja 2019 r. Te daty mają znaczenie. W tym artykule wyjaśniono, że udokumentowany przepływ pracy i jego granice weryfikacji nie stanowią gwarancji, że każdy bieżący pakiet zachowa ten sam interfejs lub formatowanie DNS . Przed użyciem potwierdź faktyczny produkt hostingowy, aktualne kontrole, wiarygodnego dostawcę DNS i trasę poczty wychodzącej. Sama rejestracja domeny nie oznacza, że Neostrada wysyła pocztę z domeny.
The Instrukcja Neostrady DKIM podać rzeczywiste kroki konfiguracji, ale niektóre sformułowania operacyjne wymagają dokładnej interpretacji. Traktuj historyczne szacunki propagacji i stwierdzenia dotyczące ostrzeżeń jako kontekst, a nie pozwolenie na ignorowanie wszystkich błędów. Przegląd możliwości zastosowania rachunku bieżącego pozostaje otwarty. Jeśli obecny interfejs jest inny, zatrzymaj się na tej różnicy i uzyskaj potwierdzenie dotyczące konkretnego produktu, zamiast narzucać starą sekwencję zrzutów ekranu w nowej usłudze.
Uzyskaj klucz publiczny domeny z cPanel
Udokumentowana ścieżka to cPanel, Dostarczalność e-maili, odpowiednia domena, a następnie Zarządzaj. Strona zawiera nazwę i wartość rekordu DKIM . Neostrada twierdzi, że każda domena ma swój własny klucz. Użyj aktualnie wygenerowanego materiału dla wybranej domeny, zamiast ponownie używać klucza publicznego skopiowanego z przykładu lub konfiguracji innego klienta. Zapisz, które konto hostingowe je dostarczyło i jaką domenę ma podpisać.
Stary przewodnik stwierdza, że subdomeny w ramach wybranej domeny najwyższego poziomu automatycznie korzystają z jej rekordu DKIM . Traktuj to jako stwierdzenie na temat opisywanej umowy hostingowej, a nie uniwersalną zasadę DNS czy DKIM . Odrębnie skonfigurowana subdomena, zewnętrzna aplikacja SMTP lub migrowane konto hostingowe mogą mieć innego sygnatariusza. Akceptacja powinna sprawdzić rzeczywistą domenę podpisującą i selektor dla każdej trasy materialnej. RFC 6376 , sekcja 3.5 definiuje te pola podpisu; wspólna nazwa organizacji nie zastępuje ich wartości.
Uzgodnij reprezentację edytora DNS z opublikowanym rekordem
Przewodnik po Neostradzie przechodzi następnie do zarządzania DNS konta klienta. Poleca użytkownikowi opublikowanie pliku Rekord TXT używając wygenerowanej nazwy i wartości. Jej przykładowa etykieta jest domyślna. _domainkey , ale poprawna etykieta prawdziwej zmiany musi pochodzić z bieżących danych wyjściowych tego konta. Przed zapisaniem sprawdź, czy edytor DNS dołącza sufiks strefy. Wygenerowany właściciel i opublikowana w pełni kwalifikowana nazwa powinny identyfikować tę samą kluczową lokalizację.
Instrukcje historyczne rozróżniają prezentację klucza pełną i dzieloną. W przypadku własnego edytora DNS Neostrady zaleca się opcję Pełna, w tym w szczególności ucieczkę wokół ostatniego średnika; omawiają także usuwanie znaków prezentacji podczas kopiowania wyświetlacza strefy WHM. Nie uogólniaj tych instrukcji specyficznych dla edytora w regułę zmiany materiału klucza kryptograficznego. Potwierdź konwencję wejściową bieżącego edytora i porównaj wynikową wartość logiczną TXT . RFC 1035 , sekcja 3.3.14 pozwala rekordowi TXT zawierać ciągi znaków; Wyświetlanie cytatów samo w sobie nie jest tym samym, co dosłowne znaki w publikowanych danych.
W przypadku DNS hostowanego zewnętrznie przewodnik mówi, aby zapytać dostawcę, jaki format jest wymagany. Zachowaj zmianę u faktycznego, autorytatywnego właściciela DNS . Rekord widoczne w panelu kontrolnym hostingu mogą nie mieć znaczenia dla publicznej weryfikacji, jeśli panel ten nie publikuje strefy autorytatywnej. I odwrotnie, lokalne ostrzeżenie cPanel nie jest wystarczającym powodem do zastąpienia poprawnego rekordu zarządzanego zewnętrznie. Przed podjęciem decyzji, który system wymaga korekty, należy uzgodnić dowody.
Przejrzyj SPF jako kompletną politykę autoryzacji
The Artykuł dotyczący Neostrady SPF dokumenty include:spf.totaalholding.nl i informacje specyficzne dla serwera hostingowego w ich przykładach. Omówiono także połączenie autoryzacji na dodatkowe usługi pocztowe w jedną politykę. Adresy IP serwerów pokazane w przykładzie z 2019 r. nie są instrukcjami dotyczącymi konkretnego konta w przypadku obecnego wdrożenia. Nie kopiuj tych adresów, nie zastępuj działającej polityki hurtowej ani nie autoryzuj Neostrady wyłącznie dlatego, że hostuje tę witrynę.
Skorzystaj z rzeczywistego spisu systemów, które wysyłają z odpowiednią tożsamością koperty. Aplikacja internetowa korzystająca z lokalnego hostingu poczty i skrzynka pocztowa pracownika korzystająca z osobnego dostawcy mogą wymagać innej analizy autoryzacji. RFC 7208 , sekcje 2.4, 3.2 i 4.6.4 rządzić POCZTA OD tożsamość, wielokrotność Rekordy SPF i oszacowane limity terminów DNS. Zachowaj jedną spójną politykę, sprawdź jej zagnieżdżone zależności i użyj prawidłowej składni protokołu. Skrócone stwierdzenia zawarte w artykule dostawcy na temat wyników dostarczania nie zastępują zasad odbiorcy: błąd SPF nie zawsze oznacza odrzucenie, a softfail nie zawsze oznacza umieszczenie w folderze spamu.
Zdefiniuj, co musi ustalić pomyślna weryfikacja
Oddziel cztery pytania: czy zamierzona zmiana DNS została opublikowana; czy usługa wysyłająca korzysta z odpowiedniego klucza prywatnego; czy zaufany odbiorca weryfikuje podpis; i czy przechodzące uwierzytelnienie jest zgodne z domeną autora? Stan konsoli odpowiada tylko na udokumentowaną kontrolę. Nie ustanawia każdego późniejszego warunku. RFC 9989 , sekcja 4.4 wyjaśnia wyrównanie związek używany przez DMARC.
Proponowana akceptacja powinna wykorzystywać reprezentatywne, autoryzowane wiadomości bez poufnego ładunku. Zachowaj tylko nagłówki i dane diagnostyczne potrzebne do określonego celu oraz zidentyfikuj odbiorcę, który wygenerował wynik uwierzytelnienia. Nie przesyłaj prawdziwej wiadomości do zewnętrznego testera tylko dlatego, że łączy ją przewodnik historyczny. Udostępnienie wymaga podjęcia odpowiedniej decyzji co do danych wiadomości i odbiorcy. Dla tego manuskryptu nie przeprowadzono żadnego przesyłania testowego ani transmisji wiadomości.
Fikcyjna diagnoza: dwa panele nie zgadzają się
W fikcyjnym studiu Linden Prints administrator widzi ostrzeżenie cPanel po przeniesieniu DNS do innej firmy hostingowej. Strefa publiczna zawiera starszą wartość selektora, natomiast nowe konto hostingowe wyświetla inny wygenerowany klucz. Zespół początkowo planuje odrzucić ostrzeżenie, ponieważ stary artykuł pomocy mówi, że cPanel nie zarządza DNS . To myliłoby wyjaśnienie granic paneli z dowodem na to, że bieżący zapis publiczny jest prawidłowy.
Proponowane dochodzenie rejestruje zarówno wartości, jak i ich pochodzenie, potwierdza faktycznego wiarygodnego właściciela DNS i sprawdza, które konto wysyła pocztę produkcyjną. Recenzent może następnie zezwolić na wąsko zakrojoną korektę i późniejszą weryfikację. W fikcyjnym przypadku nie zaobserwowano odpowiedzi DNS , prawdziwej domeny, wygenerowanego klucza ani wykonanego testu. Lekcją z tego jest rozwiązanie problemu niedopasowania własności i wartości, a nie ufanie żadnemu panelowi tylko dlatego, że wygląda wiarygodnie.
Pusty arkusz i wyraźna blokada akceptacji
- Aktualny produkt hostingowy i zastosowanie instrukcji 2019/2020: ______
- Domena, rzeczywiste systemy wychodzące i tożsamości kopert: ______
- Nazwa publiczna i odniesienie do wartości wygenerowane przez cPanel: ______
- Autorytatywny dostawca DNS i potwierdzenie formatu wejściowego: ______
- Istniejące zależności selektorów i zatwierdzenie proponowanej zmiany: ______
- Pełna polityka SPF i dowody z przeglądu zależności: ______
- Rzeczywisty opublikowany czas odpowiedzi i obserwacji TXT : ______
- Zaufany dowód zgodności DKIM i DMARC na poziomie komunikatu: ______
- Pozostałe rozbieżności, właściciel wycofania i decyzja o wydaniu: ______
Wszystkie pola operacyjne są z założenia puste. Oryginalne dowody wdrożenia, aktualne zastosowanie źródeł, przegląd zagadnień związanych z człowiekiem, trasy produkcyjne, dostępność wizualna i zezwolenie właściciela pozostają otwarte. Nie uzyskano dostępu do żadnego konta hostingowego i żaden rekord DNS nie został zmieniony. Ten przewodnik dotyczący starszej wersji nie może spełnić szerszych wymagań dotyczących implementacji katalogu, dopóki nie zostanie niezależnie ustalone zachowanie bieżącego konta i rzeczywiste dowody wiadomości.