Escopo do gateway Sophos Email antes de alterar a autenticação
Este guia cobre a autenticação de domínio de saída no Sophos Email, usando o fluxo de trabalho Gateway Domains documentado em 14 de setembro de 2026. Ele não configura o Sophos Firewall, UTM legado, proteção de endpoint ou todas as integrações do Mailflow. Nomes de produtos similares não são evidência de que seus controles, seletores ou requisitos de relé sejam intercambiáveis. Registre o serviço, a região, o domínio e a rota de saída reais antes de propor alterações. Uma implantação de filtragem de entrada por si só não estabelece que as mensagens de saída passem pelo Sophos ou recebam suas assinaturas. O Guia de informações de domínio Sophos distingue expressamente informações de Gateway e Mailflow.
Um inventário inicial útil lista mensagens de caixa de correio humana, avisos gerados por aplicativos, respostas automáticas e serviços enviados diretamente aos destinatários. Para cada classe, identifique o sistema que faz a conexão SMTP de saída final. Não adicione autorização Sophos ao domínio de um aplicativo não relacionado apenas porque a organização compra produtos de segurança Sophos. Da mesma forma, não presuma que um aplicativo de envio direto será coberto quando o conector da caixa de correio principal for alterado. Estas são etapas de revisão propostas, não observações sobre uma implantação real.
Gere o registro público no contexto de domínio correto
O Guia de chaves DKIM descreve configurações globais, produtos e serviços, e-mail, domínios de gateway. Selecione o domínio pretendido e escolha Adicionar chave. O Sophos gera o par de chaves, exibindo informações públicas para um DNS Registro TXT enquanto retém a chave privada no serviço. O tamanho da chave documentado é 2.048 bits. Copie o registro público gerado em vez de construir um seletor ou emprestar a chave de outro domínio. Nenhuma chave privada é necessária na solicitação de alteração DNS ou na planilha deste artigo.
Antes da publicação, peça ao proprietário DNS que verifique o nome completo do proprietário, o tipo de registro e o valor. Um editor DNS pode anexar o nome da zona a um rótulo inserido, portanto compare o nome totalmente qualificado resultante em vez de confiar na aparência da caixa de entrada. Confirme se o proprietário proposto não substitui outro seletor ativo. Registre o domínio de assinatura pretendido separadamente do domínio do autor visível; eles precisam de um alinhamento avaliação, não uma suposição baseada em um nome comercial correspondente.
Publicação, teste e ativação separados
Documentos Sophos Registro de teste após a publicação do registro TXT . A verificação compara o registro DNS com as informações do Sophos Email. Se falhar, investigue o nome, o valor e a localização DNS oficial antes de repetir a verificação. A estimativa de propagação declarada pelo provedor é uma orientação de planejamento, e não uma promessa de que um registro colocado incorretamente será reparado com o tempo. Mantenha a alteração solicitada, a resposta pública real e o status do fornecedor como itens de evidência separados.
As próximas etapas documentadas são ativar a chave e clicar em Salvar. Criticamente, a ativação desativa qualquer outro ativo DKIM chave para esse domínio. Esta é uma decisão de impacto de rotação, não apenas uma mudança cosmética. Identifique o seletor anterior, as mensagens pendentes e o proprietário da reversão antes de alterar o assinante ativo. Não exclua imediatamente o registro público anterior apenas porque o console agora mostra uma nova chave ativa. A sobreposição apropriada depende dos requisitos reais de trânsito e verificação de mensagens, que não foram medidos aqui.
Use autorização SPF regional sem confundi-la com roteamento
O guia de informações de domínio lista Sophos específicos da região SPF domínios e avisa que o domínio compartilhado herdado pode contribuir para pesquisas excessivas DNS . Escolha a entrada para a região da conta real e revise-a na política SPF existente do domínio. Não cole um exemplo inteiro que remova outros remetentes legítimos. O texto orientado para roteamento do guia não deve ser lido literalmente como uma propriedade do SPF : um Registro SPF autoriza os hosts de envio de uma identidade; ele não cria um conector SMTP nem redireciona mensagens por meio de um gateway.
RFC 7208 , seções 2.4 e 4.6.4 definir o CORREIO DE identidade e limites de termos dependentes de DNS avaliados. Conte o caminho de avaliação relevante, incluindo dependências aninhadas, em vez de apenas o número de strings de inclusão visíveis. Preservar uma política SPF coerente no proprietário relevante. O guia Sophos também distingue hosts de retransmissão de saída regionais e observa que as integrações Microsoft 365 e Google Workspace não precisam de um host de retransmissão de saída inserido por meio dessa instrução específica. Confirme o próprio fluxo de trabalho da integração em vez de importar uma receita genérica do Exchange.
Verifique a identidade e a modificação da mensagem juntos
Uma chave publicada e uma verificação bem-sucedida do provedor não provam que uma mensagem representativa carrega uma assinatura passageira. Um exercício de aceitação autorizado separadamente deve examinar os resultados do receptor confiável, o domínio e seletor de assinatura da assinatura, o domínio do autor, a identidade do envelope e a rota real. RFC 6376 , seção 3.5 define Assinatura DKIM campos. RFC 9989 , seção 4.4 explica o alinhamento; uma assinatura passageira para um domínio não relacionado não é automaticamente uma DMARC passe para o domínio do autor.
A Sophos recomenda especificamente assinar quando os banners inteligentes estão habilitados porque remove banners de respostas de saída, modificando a mensagem. Essa é uma razão para inspecionar o caminho final da mensagem assinada, e não uma garantia de que cada modificação ou acordo de encaminhamento preserve uma assinatura anterior. Mantenha o recebimento, a autenticação e o posicionamento da caixa de entrada separados. Nem este documento nem um status de configuração verde estabelecem que um destinatário leu uma mensagem, aceitou sua solicitação comercial ou considera seu conteúdo seguro.
Diagnóstico fictício: o registro correto para a rota errada
Uma organização fictícia, Harbour Workshop, publica uma chave gerada para seu domínio principal e registra um resultado de registro de teste bem-sucedido. Seu aplicativo de helpdesk ainda envia diretamente por outro serviço. Um revisor inicialmente trata a configuração do domínio principal como evidência para todos os e-mails enviados. O inventário de aceitação expõe a lacuna: a rota do helpdesk nunca atravessa o gateway cuja chave foi ativada.
A correção proposta é rotular a rota do helpdesk como não resolvida, identificar seu serviço de envio real e obter evidências específicas da rota antes de alterar DNS . Não se trata de adicionar mais registros Sophos às cegas ou desabilitar as verificações de um receptor. Este cenário não contém cabeçalhos reais, observações DNS , acesso de locatário ou testes executados. Seu objetivo é demonstrar porque produto, domínio e transporte devem aparecer juntos no registro de aceitação.
Planilha de aceitação em branco e limite de liberação
Preencha esta planilha apenas com observações autorizadas. Deixe campos desconhecidos abertos em vez de transformar uma ação planejada em uma verificação concluída.
- Produto, modo, região da conta e domínio: ______
- Categorias de mensagens e rotas de saída reais: ______
- Proprietário público gerado, referência de valor TXT e dependências de seletor existentes: ______
- Proprietário da alteração DNS , aprovação e referência de reversão: ______
- Evidência de entrada SPF regional e avaliação completa da política: ______
- Resultado do registro do teste, hora e referência real da resposta publicada: ______
- Decisão de ativação, chave anterior e plano de retenção de registros públicos: ______
- Evidência confiável de mensagem recebida e resultado de alinhamento por rota: ______
- Exceções não resolvidas, revisor e decisão de liberação: ______
Este é um guia de configuração documental. Evidências originais de implementação, revisão de assuntos humanos, aplicabilidade de fonte atual, testes de rota de produção, acessibilidade visual e liberação do proprietário permanecem em aberto. Nenhuma chave foi gerada, DNS alterado, mensagem enviada ou inquilino inspecionado para este manuscrito. O requisito mais amplo de aceitação do catálogo deve ser satisfeito separadamente antes que a prontidão para publicação possa ser afirmada.