A seçici monitör size doğrulama verilerinin değiştiğini veya kaybolduğunu söyleyebilir. Bir hizmetin hâlâ gönderildiğini, özel anahtarının yayınlanan anahtarla eşleştiğini veya mesajlarının uyumlu şekilde geldiğini tespit edemez. DKIM. Yayınlanan yapılandırma ve gözlemlenen mesaj davranışı için ayrı kontroller oluşturun.
Bilinen gönderme rotalarıyla başlayın
Yetkili gönderen yapılandırmasından ve destek teknisyeninin aldığı mesajlardan bir envanter oluşturun. Her rota kaydı için işletme sahibi, d alanı, seçici, DNS sahibi, beklenen TXT veya CNAME düzenleme, son gözlemlenen imzalama zamanı ve yaşam döngüsü durumu. Ortak seçicileri tahmin etmenin her imzalayanı keşfettiğini varsaymayın. DKIM eksiksiz bir DNS numaralandırma hizmeti tanımlamak yerine her imzada seçici sağlar.
s=invoice2 ve d=brand.example, aşağıdaki invoice2._domainkey.brand.example dosyasını inceleyin. RFC 6376 §3.6.2.1. Beklenen bir CNAME doğrulama verilerine kadar takip edin. Bir değişikliğin onaylanmış bir rotasyonla karşılaştırılabilmesi için bir gözlem zaman damgasını ve ortak anahtar parmak izini saklayın. Özel anahtarları asla izleme sistemine toplamayın.
Monitörün bulgularını ayırın
Eksik yanıt, DNS zaman aşımı, iptal edilen anahtar ve değiştirilen anahtar farklı olaylardır. RFC 6376 §6.1.2 anahtar sorgusu başarısızlığını eksik anahtardan ayırır ve boş bir p değeri, aşağıdaki koşullar altında iptali temsil eder: RFC 6376 §3.6.1. Her hatayı genel bir kesintiye dönüştürmek yerine yanıt ayrıntılarını kaydedin.
Mevcut bir anahtarın hala sözdizimi ve algoritma kontrollerine ihtiyacı var. RFC 8301 §3.1 rsa-sha1 imzalamayı ve doğrulamayı yasaklar; RFC 8301 §3.2 RSA boyutu gereksinimlerini günceller: İmzalayanlar en az 1024 bit ve en az 2048 kullanmalıdır. Ürün desteği ve mevcut kurumsal şifreleme politikası daha katı olabilir. Parmak izi değişikliği tek başına size bir rotasyona izin verilip verilmediğini söyleyemez.
Canlı kanıt döngüsü ekleyin
Ham mesajını ve güvenilir kimlik doğrulama sonucunu inceleyebileceğiniz bir posta kutusuna her önemli üretim rotası üzerinden kontrollü mesajlar gönderin. Gözlemlenen d ve s'yi, doğrulama sonucunu ve hizalama From ile. HTML ve ekler gibi, aşağı yöndeki işlemenin etkileyebileceği mesaj çeşitlerini kullanın.
Açıklayıcı izleme: DNS fatura2 sunmaya devam ediyor, ancak yeni bir mesaj hiçbir fatura içermiyor DKIM-Signature. İmza kontrolü başarısız olurken yayın kontrolü başarılı olur. Başka bir durumda imza mevcuttur ancak vücut karması ağ geçidi altbilgisi değişikliğinden sonra başarısız olur. Her iki olay da DNS kaydının sağlıklı olduğu bildirilerek çözülmez. Bunlar sentetik test senaryolarıdır, ölçülen hizmet olayları değildir.
Sentetik testlerin de sınırları vardır. Günlük yoklama, yoklamalar arasında iletilen her mesajı kanıtlamaz. Raporlama kapsamını ve gecikmeyi kabul ederek bunu alıcı raporları ve olay kanıtlarıyla birleştirin.
İşlem yapılabilir uyarıları yönlendirin
Bir rotaya ve sahibine uyarılar ekleyin. Yalnızca açıkça onaylanmış bir bakım penceresini gizleyin, etkinlik geçmişini koruyun ve yeni imzalayanı rotasyondan sonra yeni postayla onaylayın. Beklenmedik önemli değişiklikleri, tek başına bir değişiklikten ödün verildiğini beyan etmeden olası güvenlik olayları olarak artırın.
Eski envanter satırlarını kasıtlı olarak kullanımdan kaldırın. Yeni imzalama dursa bile, gecikmiş mesajın doğrulanması için eski bir genel anahtar kalabilir. Planlı durumu terk edilmiş bir delegasyondan ayırın. Kontrol panelinde neyin, ne zaman ve hangi yöntemle gözlemlendiğinin belirtilmesi gerekir; böylece DNS sağlığı hiçbir zaman canlı imzalamanın kanıtı olarak görülmez.
Uyarı kararını yeniden oluştur
Uyarı katmanlarını ayrı tutmak için dört sentetik prob kullanın. d=brand.example ve s=invoice2 içeren bir imza, invoice2._domainkey.brand.example ile eşleşir. Genel anahtarı mevcutsa ancak sağlanan alıcı sonucu gövde karma hatasıysa, bir mesaj doğrulama uyarısı verin. Anahtarı yoksa, anahtar yokluğu alarmını verin. Beklenen kayıt mevcutsa ancak iletinin imzası yoksa eksik imza uyarısını yükseltin. Mevcut bir anahtar artı sağlanan bir geçme sonucu, tek başına o prob için herhangi bir uyarı vermez.
Bu dört karar, icat edilen DNS durumları ve sağlanan alıcı sonuçlarıyla açıklayıcı bir karar modelidir. Bu inceleme için canlı DNS sorgusu, imzalama testi veya şifreleme doğrulaması yapılmadı. Monitörü devreye almak için bunları, güvenilir alıcı sınırınızdan gelen sonuçları taşıyan tarihli, genel yanıtlarla ve ham mesajlarla değiştirin. Bir rotayı operasyonel olarak doğrulanmış olarak tanımlamadan önce bu bağlantılı kanıtları koruyun.
Bir sonraki karar için gerekli deliller
Gövde karma uyarısı için sağlanan sonucu koruyun ve gövde gösterimini, c/l ayarlarını, bh değerini ve uygulama davranışını araştırın; tek başına bir uyumsuzluk, ağ geçidinin değiştirilmiş içeriğini kanıtlamaz. Yeni sondanın bulunmadığı bir rotayı, anahtarı mevcut olsa bile gözlemlenmemiş olarak işaretleyin. DKIM geçişi tek başına hizalanmış geçiş olmadığından hizalamanın kontrol edilip edilmediğini ayrı olarak kaydedin.