TransIP'nin yetkili olduğunu doğrulayın
Bu bir DNS yayınlama kılavuzudur, TransIP posta hizmetine katılım kılavuzu değil. Bir alan adı yetkili olduğu sürece TransIP'e kaydedilebilir ad sunucuları başka yerdeler. Alan adının genel yetkilendirmesini kontrol edin ve düzenlemeden önce yetkili bölgeyi tanımlayın. Yalnızca bir DNS formunu erişilebilir kılmak için ad sunucularını değiştirmeyin. Gönderenin tam kayıt adlarını, türlerini ve değerlerini, mevcut bölge aktarımı ve onaylanmış değişiklik kapsamıyla birlikte edinin.
Adları ve değerleri doğru girin
Kontrol panelinde etki alanını seçin ve DNS ayarlarını açın. Özel düzenleme, otomatik TransIP ayarlarının kapalı olmasını gerektirir. Bu ayarların yeniden etkinleştirilmesi, özel kayıtların ve ad sunucularının üzerine yazılmasına neden olabilir. Ad alanında bölge tepe noktası için @, alt alan adları için ise göreli adlar kullanılır. Harici bir CNAME hedefin tam adına ve sondaki noktasına ihtiyacı var. Bu arayüz kuralları aşağıdaki TransIP kontrol paneli kaynağında belgelenmiştir.
TXT için DKIM DKIM kaynağı, kullanıcılara çevredeki tırnak işaretlerini ve gereksiz ters eğik çizgileri atlamaları talimatını verir. Gönderenin genel anahtarını kullanın, asla oluşturulmuş bir örneği kullanmayın. A seçici gönderen bir alt etki alanında, ilgili sahibin adında o alt etki alanına ihtiyaç vardır. CNAME yalnızca gönderen gerçekten bir CNAME yetkisi verdiğinde kullanın. Bir anahtarın yayımlanması, gönderme hizmetinin imzalamaya başlamasını sağlamaz.
Orijinal kayıt eşleme çalışma sayfası
Aşağıdaki, bir üretim yapılandırması değil, example.org bölgesi için kurgusal bir eşleme alıştırmasıdır. İncelenecek tam bir DKIM sahibi review._domainkey.news.example.org eşlemesi. Ad alanına _domainkey.news yazın. A DMARC sahibi _dmarc.news.example.org , _dmarc.news. SPF sahibi news.example.org haberlerle eşleşir. Gözden geçiren kişinin yanlışlıkla bir example.org.example.org son ekini tespit edebilmesi için değişiklik bildiriminde beklenen tam adı işaretleyin.
SPF ve DMARC TXT politikaları olarak doğru sahip adlarında tutun. Değer alanına sınıf ve tür de dahil olmak üzere tam bir bölge dosyası satırı koymayın. Çoklu TXT kayıtları ilgisiz amaçlarla bir arada var olabilir ancak değerlendirilen bir addaki iki SPF politikası geçerli değildir. Uzun DKIM değerleri dikkatli bir şekilde ele alınmayı gerektirir: alınan TransIP sayfaları evrensel bir uzun dizi bölme prosedürü oluşturmaz. Panel sağlayıcının tam değerini reddederse, durdurmak yerine mevcut TransIP rehberliğini durdurun ve edinin.
Postayı test etmeden önce yayını doğrulayın
Tam SPF , DMARC ve seçici adları için her yetkili sunucuyu sorgulayın. Döndürülen birleştirilmiş TXT dizeleri de dahil olmak üzere tam değerleri karşılaştırın. Yetki verilen bir anahtar için CNAME hedefini ve son TXT yanıtını doğrulayın. Özyinelemeli bir çözümleyici aracılığıyla tekrarlayın ve TTL gözlemlerini koruyun. Genel yanıtın bulunmadığı doğru bir kontrol paneli ekranı, yalnızca yavaş yayılmayı değil, yanlış yetkiyi veya kaydedilmemiş verileri de gösterebilir.
Ancak o zaman gönderme hizmeti aracılığıyla kontrollü bir mesajı tetikleyin. DNS tarafı geri alma, değiştirilen kayıtları geri yüklemeli, otomatik ayarları yeniden etkinleştirmemeli veya ilgisiz değişiklikleri karşılaştırmadan eski bir bölgenin tamamını geri yüklememelidir.
Alıcıdaki kimliği kanıtlayın
Kontrollü bir harici posta kutusu kullanın ve zararsız içerikle ve müşteri verileri olmadan üretim iş akışı üzerinden gönderin. Ham mesajı, zaman damgasını ve alıcı sistemin bilgilerini kaydedin Authentication-Results. Güvenilmeyen bir gönderen tarafından eklenen kimlik doğrulama iddialarını dikkate almayın. Görünür Kimden alan adını kaydedin, Return-Path veya kimliği doğrulanmış zarf kimliği ve her DKIM d= ve s= çifti. Görünen ad veya Yanıtla adresi DMARC kimliği değildir.
SPF geçişi, değerlendirilen zarf kimliği için bağlanan sunucuya yetki verir. DKIM geçişi, imzalama alanı için bir imzayı doğrular. DMARC etki alanı görünür From: strict ile aynı hizada olan bir geçiş yöntemine ihtiyacı var hizalama aynı etki alanını gerektirir; Rahat uyum, uygulanabilir organizasyonel alan ilişkisine izin verir. Sağlayıcıya ait bir imza, görünür Kimden adresinizin kimliğini doğrulamadan geçebilir. Bir geçiş hizalanmış DKIM imzası başka bir imza başarısız olsa bile DMARC karşılayabilir. Bu protokol kuralları RFC 7208 , RFC 6376 ve RFC 9989, aşağıda listelenmiştir.
Önbellekleri teşhis etmeden önce yetkili DNS kontrol edin. Yetkili bir sunucuya tam adını ve türünü sorun, ardından özyinelemeli çözümleyiciyi önbelleğe alınmış ömründen sonra karşılaştırın. DKIM için herhangi bir CNAME genel anahtar TXT yanıtına kadar takip edin. Hiçbir zaman özel anahtarı yayınlamayın. Değerlendirilen her ad için bir SPF politikası tutun ve iç içe geçmiş içeriklerde DNS aramaya neden olan on terim sınırını kontrol edin. Paylaşılan bir SPF politikasını bir sağlayıcı örneğiyle değiştirmeyin.
Kurtarma ve kabul
Testler yeni bir gerileme gösterirse etkilenen iş akışını duraklatın. Değiştirilen kaydı kaydedilen sürümle karşılaştırın ve diğer gönderenleri kontrol ettikten sonra yalnızca bu değişikliği geri alın. DNS yeniden kontrol edin ve kurtarma işleminden sonra yeniden gönderin; bir değerin geri döndürülmesi her çözümleyicinin hemen temizlenmesini sağlamaz. Bir güvenlik olayı iptali gerektirmediği sürece, önceden imzalanmış iletiler hâlâ aktarılıyorken eski DKIM doğrulama kayıtlarını hazır bulundurun.
Değişikliği yalnızca DNS , uygulama durumu ve alınan gerçek mesaj kabul ettiğinde kabul edin. Akış sahibini, kanıt zaman damgasını ve sonraki inceleme tetikleyicisini kaydedin. Gelen kutusunun yerleştirilmesi tek başına kimlik doğrulamanın kanıtı değildir ve başarılı kimlik doğrulama, gelen kutusu yerleşimini garanti etmez. Paylaşılan bir alanın DMARC politikasını tek bir sağlayıcının testinin gücüne göre sıkılaştırmayın. Önce diğer meşru kaynakların envanterini çıkarın.
Yanlış bölgede doğru görünen bir girişi teşhis edin
Yazılı vaka TI-01, alan adının TransIP'de kayıtlı olduğunu varsayar, ancak genel temsilciliği başka bir DNS operatörüne işaret eder. İncelenmek üzere kaydedilmiş bir TransIP paneli girişi. _domainkey.news review._domainkey.news.example.org adresinde yayın oluşturmaz. Alan adı sahibi, yetkili operatörü onaylamalı ve onaylı kaydı orada düzenlemelidir; Ad sunucularını değiştirmek veya otomatik ayarları etkinleştirmek, düzeltici kısayol değildir. Herkese açık yanıtlar, gönderilen d=/s= ve alıcı sonuçları, ayrı olarak toplanana kadar bilinmiyor. Bu senaryo, gerçek bir DNS araması veya panel eylemi değil, şart koşulmuştur.
Uygulama sınırını koruyun
RFC 9989 Bölüm 7.4, p=reject, yayınlayan alan adları için yalnızca SPF değil, geçerli DKIM gerektirir ve dolaylı posta ve posta listesi birlikte çalışabilirliği konusunda uyarıda bulunur. Tek bir başarılı doğrudan mesaj testi, her meşru yolun daha güçlü politikaya hazır olduğunun kanıtı değildir. Gerçek açığı teşhis ederken mevcut onaylı korumayı koruyun; Herhangi bir politika değişikliğinin kendi kararına ihtiyacı vardır.