Bir kiracı, hepsini aynı şekilde imzalamadan birden fazla markayı, edinilmiş etki alanını ve personel adresini içerebilir. DKIM yönetim portalındaki kiracı etiketiyle değil, her iletide taşınan imzalama etki alanıyla çalışır. Hizmetin hangi kimlikleri desteklediğini belirleyin ve ardından önemli olan her etki alanı için sonucu kanıtlayın.
Bu kılavuzda sağlayıcıdan bağımsız bir doğrulama iş akışı açıklanmaktadır. Belirli bir ürünün veya aboneliğin özel alan adı imzalamayı desteklediğini iddia etmez. Kayıtları yayınlamadan veya yapılandırmasını değiştirmeden önce gerçek hizmet ve rota için güncel talimatları edinin.
Bir alan adı oluşturun ve envanteri yönlendirin
Görünen Kimden alan adını, işletme sahibini, kiracıyı, gönderen uygulamayı, beklenen DKIM d alanını kaydedin, seçici, DNS sahibi ve imzalama durumu. Web postasını, kimliği doğrulanmış SMTP , uygulama API'lerini, yetki verilen hesapları ve gerçekte kullanılan tüm ağ geçidi rotalarını ekleyin. Başarılı bir çalışan-posta testi, fatura uygulamasının nasıl imzalandığını belirlemez.
Kiracıdaki doğrulanmış bir etki alanını, giden imzalama için yapılandırılmış bir etki alanından ayırın. Ayrıca mevcut DNS kaydını, karşılık gelen özel anahtarını kullanarak aktif olarak gönderenden ayırın. Bunlar farklı durumlardır ve ne sahiplik kontrolü ne de yayınlanan anahtar, alınan mesajın geçerli bir imzaya sahip olduğunu kanıtlamaz.
Alınan postadaki kimlikleri eşleyin
Her rota için, inceleyebileceğiniz harici bir posta kutusuna kontrollü bir mesaj gönderin. Ham formunu ve alıcının güvenini koruyun Authentication-Results. Her birinden d ve s'yi okuyun DKIM-Signature. RFC 6376 arama adını imzalama etki alanının _domainkey altındaki seçici olarak tanımlar. d=brand.example ve s=tenant1 içeren bir imza bu nedenle tenant1._domainkey.brand.example öğesine işaret eder.
İmza doğrulamasını değerlendirin ve DMARC hizalama ayrı ayrı. d'deki alan, DMARC için ilgili DKIM kimliğidir. Sıkı uyum, tam bir alan adı eşleşmesi gerektirir; Rahat hizalama, organizasyonel alanları geçerli keşif kuralları kapsamında karşılaştırır. Her iki alan adının aynı ticari kiracıda olması ilgisiz alan adlarının hizalanmasını sağlamaz. RFC 9989 Bölüm 3.2.10 ve 4.4 bu ayrımı açıklamaktadır.
İki markalı bir örnek üzerinde çalışın
Açıklayıcı envanter: kiracı, d=brand.example kullanarak brand.example adresinden çalışan postalarını ve d=provider.example. kullanarak second.example adresinden kampanya postası gönderir. Her iki imzanın da geçtiğini varsayalım. Birincisi tam bir DKIM hizalama eşleşmesidir. İkincisi, yalnızca aynı kiracının her iki iş akışına da sahip olması nedeniyle, second.example için hizalanmış DKIM sağlamaz.
Şunun için ayrı bir sonuç ekleyin: SPF ikinci mesajı kontrol etmeden DMARC hatası olarak ilan etmek yerine. Uygulanabilir bir politika ve çözülmemiş değerlendirme hatasının olmaması durumunda, geçen, hizalanmış bir SPF kimliği yine de mesaj için DMARC karşılayabilir. Ancak RFC 9989 7.4 ve 8. bölümleri bir alan adı yayınlamayı gerektirir p=reject DMARC geçişi için yalnızca SPF güvenmemek ve geçerli DKIM imzalarını uygulamak. Eksik hizalanmış DKIM yolunu, tam bir reddetme politikası tasarımı olarak değil, söz konusu politikaya yönelik bir dağıtım boşluğu olarak değerlendirin. Örnekte tam bir alıcı kararı değil, eksik bir DKIM yolu gösterilmektedir. Bunlar sentetik kimlikler ve varsayılan sonuçlardır, gerçek bir sağlayıcının testleri değildir.
Yalnızca desteklenen imzalama kimliklerini yapılandırın
Sağlayıcıya her bir alanın nasıl etkinleştirileceğini, takma adların birincil alan adının yapılandırmasına uyup uymadığını ve SMTP ile API yollarının farklı davranıp davranmadığını sorun. Tam TXT takip edin veya CNAME talimatlar. Bir CNAME modeliyle, sağlayıcı tarafından yönetilen doğrulama verilerine ilişkin yetkilendirmeyi takip edin; tahmin edilen bir genel anahtarı değiştirmeyin veya başka bir kiracının hedefini kopyalamayın.
Hizmetin gerektirdiği durumlarda ayrı seçiciler kullanın ve bir sahiplik kaydı tutun. Bir seçici etiketinin farklı etki alanlarında yeniden kullanılması, tam DNS adlarının farklı olması nedeniyle doğası gereği bir çarpışma değildir. RFC 6376 bölüm 3.6.2.2 anahtarı gerektirir TXT kaydı bir seçici adı için benzersiz olması; bu arama adındaki birden fazla TXT kaydının tanımsız sonuçları var. Burada rakip anahtarları yayınlamayın.
Envanteri kanıtlarla kapatın
Her satırı yalnızca tarihli bir alınan mesaj örneğine, beklenen kimliğe, gözlemlenen imza sonucuna ve hizalama değerlendirmesine sahip olduğunda doğrulanmış olarak işaretleyin. Desteklenmeyen herhangi bir rotayı kiracının etkin durumunun arkasına saklamak yerine, bir sahip ve alternatif ile sınırlama olarak kaydedin.
Alan adı ekledikten, yönlendirme kuralını değiştirdikten veya markayı taşıdıktan sonra yeniden test edin. İmzalama yetkisi ve sağlayıcı bağımlılıklarının amaçlarını aşmaması için devredilen kayıtları devre dışı bırakma işlemine dahil edin. Yararlı sonuç, genel bir geçişin ekran görüntüsü değil, açıklanabilir bir alan adı-imzalama haritasıdır.
Rota başına bir kanıt satırını tamamlayın
- Beklenen: İşletme sahibi, Alan adı, uygulama rotası, imzalama alanı ve seçici.
- Yayınlandı: tam seçici DNS adı, kayıt türü ve kullanılıyorsa devredilen hedef.
- Gözlemlendi: tarihli alınan mesaj, her d=/s= çifti ve güvenilir doğrulama sonucu.
- Hizalanmış: Geçerli politika kapsamında geçen DKIM ve SPF kimliklerini Kimden ile karşılaştırın.
- Karar: doğrulandı, desteklenmedi veya çözümlenmedi, sahibiyle ve bir sonraki testle.
- Kullanımdan kaldırma: rotanın ne zaman imzalamayı durdurduğunu, sıraya alınmış posta iznini ve geçerliliğini yitirmiş yetkilendirmeyi kimin kaldırdığını kaydedin.