Hizalama etki alanı ilişkisinin merkezinde yer aldığı DMARC. SPF veya DKIM Kimden'deki alan adı ile nitelikli bir ilişkisi olmayan bir alan adı olarak geçebilir. DMARC aynı zamanda hizalanan en az bir geçiş yoluna ihtiyacı vardır.
Sıkı ve rahat uyum, farklı güven sınırlarını tanımlar. Seçim sadece "daha güvenli" ya da "daha uyumlu" değildir. Hangi kontrollü alan ilişkilerinin değerlendirmeyi karşılayabileceğini belirler.
Karşılaştırmadan önce alanları tanımlayın
Protokol referansları: RFC 9989 §3.2.2, RFC 9989 §4.4.1, RFC 9989 §4.4.2. Aşağıdaki operasyonel kontrol listeleri ve kararlar editoryal rehberlik niteliğindedir.
Her destek teknisyeninin aldığı mesaj için şunu kaydedin:
- Alan: Şuradan Görülebilir; Hizalama için kullanılan etki alanı: Yazar Etki Alanı DMARC değerlendirir
- Alan: SPF ; Hizalama için kullanılan alan adı: İlgili SPF sonucu için kimliği doğrulanmış zarf alanı
- Alan: DKIM ; Hizalama için kullanılan alan adı: Her geçen imzanın d= alanı
Kimlik doğrulama ve hizalama ayrı sütunlardır. İlk önce SPF mi yoksa bir DKIM imzası geçti. Daha sonra bu geçiş kimliğini yapılandırılmış mod altındaki Yazar Etki Alanı ile karşılaştırın.
İlgisiz bir sağlayıcı etki alanı için ham geçiş, yararlı protokol kanıtı olmaya devam eder, ancak kuruluşun sağlayıcıyla ticari bir hesabı olduğu için uyumlu hale gelmez.
Sıkı hizalama, tam etki alanlarını gerektirir
Protokol referansları: RFC 9989 §3.2.10.2. Aşağıdaki operasyonel kontrol listeleri ve kararlar editoryal rehberlik niteliğindedir.
Sıkı SPF hizalaması altında, kimliği doğrulanmış SPF alanının Yazar Etki Alanıyla tam olarak eşleşmesi gerekir. Katı DKIM uyumu altında, geçen imzanın d= alanı, Yazar Etki Alanıyla tam olarak eşleşmelidir.
Aşağıdaki tüm demirbaşlar için, geçerli bir politikanın, tamamlanmış kontrollerin ve example.com keşfedildiğini varsayalım. organizasyon alanı. billing.example.com adresinde From ile sentetik bir mesaj düşünün:
- Yol: SPF ; Kimliği doğrulanmış alan adı: billing.example.com ; Ham sonuç: Başarılı; Sıkı hizalama: Evet
- Yol: DKIM ; Kimliği doğrulanmış alan adı: example.com ; Ham sonuç: Başarılı; Sıkı hizalama: Hayır
Bu örnekte mesaj, SPF aracılığıyla DMARC karşılayabilir. example.com ve billing.example.com tam eşleşme olmadığından, geçen DKIM imzası tam olarak hizalanmıyor.
Gevşetilmiş hizalama organizasyonel alan ilişkisini kullanır
Protokol referansları: RFC 9989 §3.2.10.1, RFC 9989 §4.10.2. Aşağıdaki operasyonel kontrol listeleri ve kararlar editoryal rehberlik niteliğindedir.
Gevşetilmiş uyum, DMARC tarafından tanımlanan geçerli kuruluş-alan ilişkisini kabul edebilir. Bu, son iki etiketli bir kısayol değildir ve rastgele bir sonek eşleşmesi değildir.
Aynı kurgusal Yazar Alan Adını billing.example.com kullanarak:
- Kimliği doğrulanmış alan adı: mail.example.com ; Ham sonuç: Başarılı; Rahat ilişki: Aynı uygulanabilir organizasyonel alan; Bu yolun sonucu: Hizalanmış
- Kimliği doğrulanmış alan adı: example.com ; Ham sonuç: Başarılı; Rahat ilişki: Aynı uygulanabilir organizasyonel alan; Bu yolun sonucu: Hizalanmış
- Kimliği doğrulanmış alan adı: example.net ; Ham sonuç: Başarılı; Rahat ilişki: İlgisiz alan; Bu yolun sonucu: Hizalanmadı
- Kimliği doğrulanmış alan adı: customer-example.com ; Ham sonuç: Başarılı; Rahat ilişki: Yalnızca benzer metin; Bu yolun sonucu: Hizalanmadı
Kesin sonuç, politika etki alanının doğru işlenmesine bağlıdır. Ülke kodu ve özel olarak kontrol edilen son ekler, görsel etiket sayımının neden güvenli olmadığına dair örneklerdir.
Yetki verilen alt alan adlarını otorite olarak ele alın
Bir kuruluşun example.com kontrol ettiğini ancak campaigns.example.com bir pazarlama iş birimine veya harici platforma devrettiğini varsayalım. Gevşetilmiş hizalama altında, aynı geçerli organizasyonel alan ilişkisi içindeki geçiş kimliği, başka bir From alt alanıyla hizalanabilir.
Bu operasyonel olarak yararlı olabilir. Bu aynı zamanda kuruluşun, ilgili sınırın altında kimlerin imza kimlikleri, zarf alanları ve Kimden adresleri oluşturabileceğini anlaması gerektiği anlamına da gelir.
Risk, gevşek hizalamanın otomatik olarak güvensiz olması değildir. Risk, sürdürülen bir sahiplik modeli olmadan alt alan adı yetkisi verilmesidir. Unutulan bir yetkilendirme, teknik olarak uyumlu kalan bir kimlik doğrulama yolu haline gelebilir.
İki delegasyon modelini karşılaştırın
Model A: merkezi olarak yönetilen alt alanlar
DNS değişiklikleri, DKIM seçicileri ve gönderenin katılımı için merkezi onay gerekir. Bu varsayımsal modelde teknik kontroller, yetkilendirilen ekiplerin hangi kimlikleri oluşturabileceğini kısıtlıyor; bir onay politikası tek başına bu kısıtlamayı oluşturamaz. Gevşetilmiş hizalama, yapılandırma uyuşmazlıklarını azaltabilirken yönetişim modeli ad alanını kimlerin kullanabileceğini kısıtlar.
Model B: geniş bağımsız delegasyon
İş birimleri veya satıcılar, sınırlı merkezi envanterle alt alanları ve imzalama anahtarlarını kontrol eder. Gevşetilmiş hizalama, bağımsız olarak çalıştırılan kimlikleri, ilgili From alan adları için DMARC değerlendirmesine uygun hale getirebilir. Katı hizalama ilişkiyi daraltır ancak bilinmeyen yetkilendirmeleri veya güvenliği ihlal edilmiş anahtarları düzeltmez.
Hizalamayı yalnızca hangi modelin gerçeğe benzediğini belirledikten sonra seçin.
Sonucu hesaplamak için tek bir mesaj kullanın
Protokol referansları: RFC 9989 §5.3.5. Aşağıdaki operasyonel kontrol listeleri ve kararlar editoryal rehberlik niteliğindedir.
Bu kurgusal mesaj şunları içerir:
- Gözlem: Nereden; Değer: alerts@security.example.com
- Gözlem: SPF ; Değer: bounce.notifications.example.com için geçiş
- Gözlem: DKIM 1; Değer: d=notifications.example.com ile geçin
- Gözlem: DKIM 2; Değer: d=mailer.example.net ile geçin
- Gözlem: aspf; Değer: sn
- Gözlem: adkim; Değer: r
bounce.notifications.example.com security.example.com ile tam bir eşleşme olmadığından SPF tam olarak hizalanmıyor. DKIM 1, rahat organizasyonel alan ilişkisi altında uyum sağlayabilir. example.net ilgisiz olduğundan DKIM 2 hizalanmıyor.
Bu nedenle mesajın uygun bir DKIM yolu vardır ve mesaj düzeyinde DMARC geçebilir. Bu sonuç, her iki mekanizmanın da hizalanmasını gerektirmez ve ilgisiz ikinci imza, hizalanmış geçen imzayı iptal etmez.
Güven envanteriyle karar verin
Her etki alanı ailesi için şunları kaydedin:
- politika işleme için kullanılan organizasyonel sınır;
- yetki verilen her alt alan adı ve sorumlu sahip;
- görünür Alan adlarını seçmesine izin verilen sistemler;
- zarf kimlikleri oluşturmaya izin verilen sistemler;
- DKIM anahtarı ve seçici sahipleri;
- katı uyumun teknik olarak desteklenip desteklenmediği;
- istisna ve son kullanma tarihleri;
- Temsilcinin aldığı mesajlardan alınan kanıtlar.
Yalnızca DNS sahiplik sonucunu çıkarmayın. İşletme sahibini ve kullanım amacını onaylayın.
Meşru postayı bozmadan hizalamayı değiştirin
Rahat hizalamadan katı hizalamaya geçmeden önce, şu anda yalnızca ilgili ancak aynı olmayan bir alandan geçen her rotayı test edin. Yaygın örnekler arasında, Gönderen alt alan adı veya paylaşılan geri dönen alt alan adı için üst alan adı DKIM imzası yer alır.
Kontrollü bir değişiklik planı mevcut ve önerilen etiketleri, etkilenen gönderenleri, yapılandırma çalışmasını, temsili testleri, onayı ve geri almayı içerir. DNS değişikliğinden sonra alıcı sonuçlarını izleyin ve önbellek zamanlamasına izin verin.
Katı hizalamadan esnek hizalamaya geçmeden önce alt alan adı yetkilendirmelerini ve anahtar sahipliğini inceleyin. Değişiklik, hangi etki alanı ilişkilerinin uygun olduğunu genişletebilir, dolayısıyla teknik geçişle aynı yönetimi hak eder.
Üç yaygın hatadan kaçının
Protokol referansları: RFC 9989 §8. Aşağıdaki operasyonel kontrol listeleri ve kararlar editoryal rehberlik niteliğindedir.
Öncelikle görünen adları karşılaştırmayın. Hizalama, kimliği doğrulanmış yollarla ve Yazar Etki Alanıyla ilişkili etki alanlarını karşılaştırır.
İkinci olarak, rahat kelimesinin benzer görünen herhangi bir alt alan adı anlamına geldiğini varsaymayın. Geçerli organizasyonel alan yöntemini kullanın.
Üçüncüsü, mesaj düzeyinde DMARC geçişini tam program hazırlığı olarak değerlendirmeyin. Güvenilir katılım aynı zamanda kimlik doğrulamanın, politikanın, raporlamanın ve sahipliğin sürdürülmesini gerektirir. Tek bir hizalanmış yol, her gönderenin sağlığını değil, o mesajın sonucunu kanıtlar.
Sahiplik değiştikçe hizalamayı inceleyin
Bir şirket satın alırken, bir alt alan adını devrederken, bir e-posta platformunu değiştirirken, DKIM anahtarlarını değiştirirken veya bilinmeyen bir göndereni keşfederken uyumu yeniden değerlendirin. Gerçek güven sınırı genişledikçe DNS etiketleri değişmeden kalabilir.
Doğru hizalama modu, kabul edilen etki alanı ilişkileri açık, güncel bir sahiplik modeliyle eşleşen ve meşru rotaları güvenilir geçiş yolları gösterebilen moddur.
Kanıtları abartmadan uygulayın
Karma mod fikstürü için katı SPF , alan karşılaştırmasında başarısız olur, DKIM 1 rahat hizalanmış yol sağlar ve DKIM 2 hizalanmamış yol sağlar. Yalnızca adkim'i s olarak değiştirmek, bu nitelikli DKIM yolunu kaldırır çünkü notifications.example.com security.example.com değildir. Belirtilen tamamlanmış kontrol varsayımları ve değişmeyen girdilerle, her iki mekanizma da geçen hizalanmış bir yol sağlamaz. Bu analitik bir akıl yürütmedir, bir doğrulama çalışması değil.