HR-system kan skicka meddelanden som ser ut som internpost men som kommer från rekryteringsplattformar, löneleverantörer och applikationer för anställdas tjänster. Den första uppgiften är att identifiera organisationens faktiska konto och ägare för varje rutt. Ett igenkännligt leverantörsvarumärke är inte ett bevis på att ett visst e-postmeddelande eller lönemeddelande har godkänts av arbetsgivaren.
Dela ägande innan du ändrar policy
Tilldela rekryteringsmeddelanden till ägaren av rekryteringsverksamheten, lönemeddelanden till ägaren av lönetjänsten och personaluppdateringar till ägaren av personalverksamheten. Rekordleverantör hyresgäst, syfte, Från identitet, kuvertdomän, DKIM signeringsdomän och väljare, svarsdirigering och godkänd supportkontakt. Om en leverantör betjänar flera dotterbolag, registrera vilken juridisk person och domän varje konto är avsett att använda istället för att behandla gruppen som en odifferentierad avsändare.
Inventeringen ska innehålla operationell metadata, inte kandidat-CV:n, löneinformation eller personalidentifierare. Lagra alla nödvändiga begränsade bevis under lämpliga åtkomst- och lagringskontroller. Autentiseringsfelsökning är inte tillåtelse att kopiera personaldata till en allmän e-postfelsökningsärende.
Förstå vad resultatet betyder
RFC 9989 utvärderar autentiserad domänanvändning. Det bevisar inte att ett erbjudande är giltigt, en lönejustering är korrekt eller en rekryterare är behörig att göra ett åtagande. Behåll anställningsbeslut och bankdetaljändringar under sina egna verifieringsprocesser. Ett inträngt godkänt konto kan fortfarande skicka autentiserat vilseledande innehåll.
Använd resultat och rubriker från betrodda mottagningssystem för att jämföra den synliga From-identiteten med den autentiserade identiteten. Lita inte på en skärmdump som innehåller en leverantörslogotyp eller en opålitlig rubrik som infogats av avsändaren. Fråga leverantören om dess nuvarande, kontospecifika anpassade domänprocedur och behåll konfigurationsbevis utan att avslöja autentiseringsuppgifter.
Kontrollera anställningsbeskedet utan att låna lönebevis
Anta att kandidat- och lönemeddelanden använder signeringsdomäner som matchar deras respektive From-domäner, medan employees.hr.example visas i ett anställningsmeddelandes From och provider.example.net är dess DKIM d=-domän. Även om man antar att signaturen verifierar, misslyckas den strikt DKIM inriktning. Dessa är hypotetiska identiteter, inte signerade exemplar eller faktiska kryptografiska kontroller. Ett löneresultat kan inte stänga en separat anställd-varsling missmatch.
RFC 9989 avsnitt 4.4 och 5.3.5 kräver att man överväger de andra relevanta anpassade vägarna för en komplett DMARC resultat. För p=reject distribution, avsnitt 7.4 och 8 kräver giltig DKIM snarare än SPF ensam. Separat kan ett kandidatsvar nå fel rekryteringskö trots ett passerande utgående meddelande. Verifiera den godkända svarsdestinationen med fiktiva register och kontrollerade konton, inte riktiga sökande eller personaluppgifter.
Testa själva medarbetar- och kandidatresorna
Använd ett godkänt fiktivt sökande- och anställdkonto i en testmiljö som stöds. Utlösa en applikationsbekräftelse, en ofarlig löneavisering och en anställd uppdatering genom sina verkliga applikationsarbetsflöden. Bekräfta kontrollerat mottagande, autentisering och svarsdirigering. Kontrollera att ett kandidatsvar når den förväntade rekryteringskön utan att avslöja en annan sökandes uppgifter. Behandla dokumentåtkomst och innehållsriktighet som separata acceptanskriterier.
Om leverantören endast erbjuder sin egen From-identitet bör företagaren bestämma om en tydligt presenterad adress uppfyller arbetsflödesbehoven. Förfalska inte arbetsgivarens identitet genom en konfiguration som inte stöds eller lägg till breda förbikopplingsregler bara för att få ett test att verka lyckat. Testa om ändringar som stöds och dokumentera eventuella kvarvarande begränsningar.
Håll avstängningsanslutningen till avsändarstyrning
Granska behörigheter när ett byråkontrakt upphör, en löneleverantör byter eller en HR-administratör slutar. Bekräfta det efterföljande arbetsflödet innan du tar bort nycklar eller DNS beroenden. Bevara en namngiven återställningsägare för tidskänsliga kandidat- och lönemeddelanden. Markera rutten accepterad endast när tjänsteägaren godkänner det aktuella testbeviset; varken en DNS post eller ett autentiseringspass är en certifiering för anställning, integritet eller regelefterlevnad.