Kimliği doğrulanmış bir mesaj yine de bozuk, yanıltıcı veya güvenli olmayan bir bağlantı içerebilir. Kimlik doğrulama, tanımlanmış kurallar kapsamında sorumlu bir gönderen etki alanını tanımlar; bağlantılı web sitesini güvenli hale getirmez veya her alıcı sistemin mesajı tercih etmesini sağlamaz. İçerik yolculuğunun yanı sıra posta yolculuğunu da inceleyin.
Alıcıların gerçekte ne aldığını inceleyin
Yalnızca düzenleyici önizlemesini değil, son kontrollü mesajı kullanın. Görünür bağlantı metnini gerçek hedefle karşılaştırın, ardından ilk ana bilgisayarı ve amaçlanan hedefi tanımlayın. Düz metin alternatifleri ve mobil şablonlar ekleyin. Son dakika izleme yeniden yazma veya yerelleştirme değişikliği, yazarın test ettiğinden farklı bir yol oluşturabilir.
DKIM imzalı mesaj materyalini doğrular ve bunu bir imzalama alanıyla ilişkilendirir. İçerik güvenliği sertifikası değildir. RFC 6376. Kimlik doğrulama sonuçlarını ve bağlantı inceleme sonuçlarını sürüm kontrol listesinde ayrı alanlar olarak tutun.
Yönlendirmeleri güvenlik sınırı olarak inceleyin
OWASP, güvenilmeyen yönlendirme hedeflerini kabul etmenin şunları sağlayabileceğini açıklıyor: kimlik avı tanıdık bir başlangıç ana bilgisayarını kötü niyetli bir hedefe ödünç vererek. Uygulamaya uygun, sabit hedefleri veya dikkatle doğrulanmış bir izin verilenler listesini tercih edin. Doğrulama, sıradan bir alt dize eşleşmesi yerine ayrıştırılmış hedefi dikkate almalıdır. OWASP doğrulanmamış yönlendirme kılavuzu.
Bu, her yönlendirmenin kötü amaçlı olduğu anlamına gelmez. Meşru bir uygulama bölgesel yönlendirmeyi, kimlik doğrulamayı veya izlemeyi kullanabilir. Yararlı soru, her adımın haklı bir amacı, sorumlu bir sahibi ve güvenli bir hedefi olup olmadığıdır. Bir atlamanın kaldırılmasının sağlayıcının yayınlanmamış filtreleme algoritmasını değiştireceğine dair söz vermeyin.
Envanter incelemesi üzerinde çalışın
Dört bağlantının varsayımsal bir incelemesini düşünün. Doğrudan bir HTTPS yardım bağlantısı amaçlanan yardım ana bilgisayarına ulaşır. İki atlamalı bir izleme bağlantısı, onaylanmış hesap barındırıcısına ulaşır. Promosyon bağlantısı, onaylanmış envanterin dışındaki ilgisiz bir barındırıcıya ulaşır. Dördüncü bir bağlantı, hedefine ulaşmadan iki ana bilgisayar arasında döngü yapar.
Beyan edilen envanter kriterlerine göre ilk ikisi kabul edilebilir adaylardır ve son ikisinin düzeltilmesi gerekmektedir. Yanlış hedefi değiştirmek ve döngüyü çözmek, yalnızca yetkili bir yeniden testin nihai yolları onaylaması durumunda bu belirli kusurları giderecektir. Bu örnek için herhangi bir ağ incelemesi veya onarımı yapılmamıştır. Kötü amaçlı yazılım durumu, canlı DNS , sertifikalar ve hizmet alma işlemleri ayrı sorular olarak kalmaya devam ediyor.
Bu dört bağlantılı alıştırmayı kabul oranı talebine dönüştürmeyin. Alıcı hizmet, kitle veya eş zamanlı trafik değişiklikleri dahil olmak üzere envanterde bulunmayan nedenlerden dolayı yanıtını değiştirebilir. Bir içerik sorununu adlandırdığında sağlayıcı teşhisini tam olarak koruyun; aksi takdirde önerilen bağlantıyı kanıtlanmamış halde tutun.
Teslimat etkisini dikkatli bir şekilde teşhis edin
Şablon revizyonundan sonra posta performansı değişirse eşdeğer hedef kitleleri, rotaları ve gözlem pencerelerini karşılaştırın. Kabulleri, şikayetleri ve bağlantı hatalarını ayrı ayrı yakalayın. Eş zamanlı bir izleyici değişikliği veya sağlayıcı olayı bu eğilimi açıklayabilir; Yakın zamanda düzenlendi diye her hareketi bir URL'ye atfetmeyin.
Sağlayıcı açıkça bir URL veya içerik sorununu tanımladığında, yanıtın tamamını koruyun ve desteklenen mevcut düzeltme sürecini izleyin. Aksi takdirde kanıtları hipotez olarak rapor edin. Gerekli yetkilendirme olmadan mesajları veya hassas URL'leri üçüncü taraf tarayıcılara yüklemekten kaçının.
Açıklanabilir bir içerik yolu yayınlayın
Yanıltıcı etiketleri, bozuk hedefleri ve gereksiz sahipsiz atlamaları düzeltin. Uygulama sahibinin hedef doğrulamayı incelemesini ve posta sahibinin son oluşturulan mesajı doğrulamasını sağlayın. Uygun olduğu şekilde hesap, yardım ve abonelikten çıkma yolculuklarını kapsayan küçük bir regresyon kontrollü bağlantı kümesini saklayın.
Test edilenler ve bilinmeyenler ile kapatın. Amaç, kimlik doğrulamayla desteklenen ancak hiçbir zaman kimlik doğrulamayla karıştırılmayan açık ve güvenilir bir alıcı yolculuğudur. Bu, alıcının ayrıntılı bir içerik itibar puanı göstermemesi durumunda bile işlem yapılabilir.
İtibar sonuçlarını icat etmeden bağlantı kusurunu kapatın
Tam olarak düzeltilmiş hedefi veya döngüyü, kontrollü mesaj revizyonunu ve gerçekte gerçekleştirilen kontrolleri kaydedin. Herhangi bir hizmet alma eğilimini, bağlantı hatasıyla bağlantılı olduğuna dair kanıt olmadığı sürece, ayrı bir araştırma olarak saklayın.