Um aviso de licitação pode ser autêntico, mas conter uma alteração não autorizada dos dados bancários após o comprometimento da conta. A autenticação ajuda a avaliar a identidade do domínio. A autoridade de aquisição vem do processo aprovado e de pessoas responsáveis. Projete as duas verificações para reforçar uma à outra, sem permitir que uma substitua a outra.
Mapeie o aviso para o registro de aquisição
Para publicação de propostas, avisos de fornecedores e compras delegadas, registre o sistema de registro, o identificador do aviso, o remetente aprovado e a função de contratação responsável. A notificação deve ajudar o fornecedor a encontrar o registro oficial de aquisição por meio de um canal conhecido. Evite tratar um link em uma mensagem inesperada como uma verificação independente da mesma mensagem.
Registre o locatário do aplicativo, Do domínio, domínio do envelope, DKIM domínio e seletor para cada rota. Um portal de compras subcontratado pode ter uma infraestrutura de envio separada do correio do pessoal da autoridade. Um rodapé com marca ou endereço de resposta não estabelece um caminho de autenticação alinhado. Mantenha o tratamento de respostas no mapa de rotas porque um aviso genuíno pode direcionar as respostas para uma caixa de correio operacional diferente.
Mantenha as mudanças consequentes com sua própria aprovação
Classifique os avisos de acordo com o que eles pedem ao destinatário. Um anúncio de abertura de concurso, uma alteração de prazo, uma comunicação de adjudicação e um pedido de detalhes de pagamento têm diferentes consequências operacionais. Este guia recomenda verificação separada de compras e finanças para alterações confidenciais de fornecedores ou bancos usando registros de contato estabelecidos, e não um número de telefone fornecido no e-mail contestado.
DMARC não inspeciona os termos de uma licitação nem determina quem aprovou uma adjudicação. Nem uma assinatura passageira estabelece que uma conta bancária pertence ao fornecedor pretendido. Retenha a autoridade de mudança, o registro aprovado e o resultado da verificação independente no sistema de compras. Estas são recomendações de fluxo de trabalho e não uma declaração da lei de compras de qualquer jurisdição.
Teste o remetente delegado antes do prazo
Execute amostras aprovadas para notificação inicial, alteração e cancelamento, com detalhes fictícios da licitação. Confirme a identidade pretendida, resultado da assinatura, aplicável alinhamento, destino da resposta e acesso bem-sucedido ao registro oficial. Um teste de assinatura não pode estabelecer que a notificação chegou antes do prazo legal. Preservar as provas relevantes de entrega e publicação separadamente.
Se um empreiteiro mudar de plataforma durante uma licitação ativa, mantenha a rota antiga até que a transição aprovada e o tratamento da fila sejam compreendidos. Defina um proprietário para avisos de falha e um processo de notificação alternativo documentado. Não reenvie silenciosamente um aviso por meio de uma nova identidade porque uma integração falhou. Tal mudança pode confundir os fornecedores e deve ser tratada de acordo com o processo de comunicação aprovado pela equipe de compras.
Reavaliar o limite voltado para o fornecedor
Revise os relatórios por serviço de compras e não apenas pelo volume total de correspondência do departamento. Um agregado aparentemente saudável pode ocultar um remetente de alterações de baixo volume. Escale domínios de assinatura inesperados, novos destinos de resposta e contas de fornecedores sem propriedade. Antes de aposentar um domínio ou seletor, estabeleça quais registros de licitações e editais recorrentes ainda dependem dele. As evidências de autenticação devem ser acompanhadas, e não no lugar, dos registros de auditoria de aquisições.
Trabalhe através de três registros de rota escritos
Esses exemplos de domínios reservados, seletores, funções e premissas DKIM de passagem são fictícios. Nenhuma mensagem assinada, chave, verificação criptográfica, pesquisa DNS , transação SMTP ou teste de serviço ao vivo é fornecida ou executada para esses casos. Nenhum código de teste ou amostra externa é necessário para inspecionar o raciocínio abaixo.
- publicação do concurso: visível Do domínio tenders.civic.example ; DKIM d=tenders.civic.example; seletor demo1; assuma a aprovação DKIM apenas para este caso escrito. SPF CORREIO DE identidade e resultado desconhecido; outras assinaturas desconhecidas; descoberta e entrega de políticas reais desconhecidas. Proprietário proposto: Líder de compras. Próxima ação: Obtenha uma amostra autorizada e um resultado de receptor confiável para esse locatário exato.
- aviso do fornecedor: visível no domínio suppliers.civic.example ; DKIM d=suppliers.civic.example; seletor demo2; assuma a aprovação DKIM apenas para este caso escrito. SPF MAIL FROM identidade e resultado desconhecido; outras assinaturas desconhecidas; descoberta e entrega de políticas reais desconhecidas. Proprietário proposto: Proprietário das comunicações do fornecedor. Próxima ação: Confirme esta rota separada e seu evento de negócios em vez de herdar o resultado da primeira rota.
- aquisição delegada: visível no domínio contracts.civic.example ; DKIM d=provider.example.net; seletor demo3; assuma a aprovação DKIM apenas para este caso escrito. SPF MAIL FROM identidade e resultado desconhecido; outras assinaturas desconhecidas; descoberta e entrega de políticas reais desconhecidas. Proprietário proposto: Entidade contratante. Próxima ação: Solicite ao fornecedor verificado o caminho de assinatura alinhado com suporte deste locatário; não amplie a autorização para toda a sua rede.
Para as duas primeiras assinaturas estipuladas, d= é exatamente igual ao domínio From, de modo que o identificador satisfaz tanto o alinhamento estrito quanto o relaxado. Dado o resultado DKIM bem-sucedido estipulado, existe um caminho de autenticação alinhado para essas mensagens hipotéticas. O terceiro signatário não está deliberadamente relacionado ao domínio do autor e não pode fornecer esse caminho alinhado. Não chame a terceira mensagem de falha DMARC : SPF alinhado ou outra passagem alinhada Assinatura DKIM ainda poderia satisfazer o mecanismo, e essas entradas são desconhecidas. Não infira a implantação real ou o posicionamento da caixa de entrada de nenhuma linha.
Uma assinatura criptográfica autentica a responsabilidade de um domínio de assinatura, não a veracidade ou autorização de cada instrução. Alterações nos bytes canônicos cobertos podem invalidar uma assinatura; nem toda edição visível altera necessariamente a entrada assinada. A autenticação e a aceitação no nível do aplicativo permanecem separadas.
Use um cartão de aceitação específico para aviso
Para a versão 2 da alteração T-01 da licitação fictícia, exija a versão de registro aprovada, função de contratação autorizada, identidade, destino da resposta, horário de publicação e evidência de notificação do destinatário. Se a autenticação for aprovada, mas o registro oficial permanecer na versão 1, interrompa e reconcilie a alteração com a aquisição; não o rotule como aprovado. Se o registro estiver correto, mas a notificação falhar, invoque o processo de notificação alternativo já aprovado e retenha a evidência de tempo. Um beneficiário alterado aciona o processo de verificação financeira separado, independentemente de qualquer resultado. Estas são decisões propostas, não requisitos da lei de aquisições ou testes concluídos.
Aplicar os padrões sem reivindicar conformidade
RFC 9989 Seções 4.4 e 5.3.5 apoiar o alinhamento e a distinção do mecanismo. Sua Seção 7.4 alerta sobre a interoperabilidade de correio indireto: domínios que usam p=reject deve usar DKIM válido, não apenas SPF , e o uso de listas de discussão de uso geral precisa de cuidados especiais. Um inventário de rotas não é em si uma permissão para impor a rejeição. RFC 6376 Seções 3.4–3.7 e 6.1 descrever entradas assinadas e verificação. RFC 9990 Seção 3.1 fornece contexto de relatório, não prova de chegada por destinatário. RFC 5321 Seção 4.2.5 distingue a responsabilidade de aceitação do servidor dos resultados de entrega posteriores. As opções de fluxo de trabalho do setor aqui são recomendações editoriais; o âmbito legal, a adequação dos factores e a autorização local necessitam da sua própria análise responsável.