Profesyonel hizmet veren bir firma, personel ayrı bir posta kiracısı kullanırken, bir portal, faturalandırma aracı ve proje sistemi aracılığıyla müşteri mesajlarını gönderebilir. Bir ortak, firmanın etki alanına gönderileceğinin farkında olmadan yeni bir aracı onaylayabilir. Bu kimliği vermeden önce hizmete özel bir yetki kaydı oluşturun ve uygulama sonrasında adlandırılmış bir iş sahibini elinizde tutun.
Müşteriye yönelik yükümlülüklerle başlayın
Portal belge bildirimlerini, fatura bildirimlerini ve proje güncellemelerini ayrı ayrı eşleyin. Müşteri platformu liderliğini, finans sistemleri liderliğini ve uygulama operasyonları liderliğini sorumlu sahipler olarak atayın. Sağlayıcı kiracısını, Kimden ve zarf etki alanlarını, imza seçicileri, amaçlanan müşteri nüfusunu ve erişimi iptal etme yetkisine sahip kişiyi kaydedin. Merkezi BT'nin bunları zaten keşfettiğini varsaymak yerine uygulamaya özel araçları dahil edin.
Kurgusal istemcileri, zararsız belge mevcut bildirimlerini ve bağlayıcı olmayan fatura örneklerini kullanın. Paylaşılan test kanıtlarına imtiyazlı tavsiye, gizli konular, ücret bakiyeleri veya banka talimatlarını dahil etmeyin. Teknik incelemecinin temel müşteri etkileşimine erişime değil, mesaj dönüşümünü yeniden oluşturmak için yeterli içeriğe ihtiyacı vardır.
Yetki verilen kimliğin kapsamı
Hizmeti doğru şekilde temsil eden dar desteklenen kimliği seçin. Özel bir alt alan adı, envanteri ve operasyonel ayrımı iyileştirebilir ancak güvenlik izolasyonunun garantisi değildir: DNS yetkisi, imza erişimi ve uygulanabilir DMARC politikanın hâlâ gözden geçirilmesi gerekiyor. Yalnızca sağlayıcının uygun bir varsayılan teklif sunması nedeniyle geniş kurumsal gönderme hakları vermekten kaçının.
Kurgusal yol haritasında, billing-vendor.test işaretleri sırasında billing.firm.test Kimden'de görünür. İmzanın doğrulandığını varsaysak bile, varsayımsal alanlar kesinlikle başarısız olur DKIM hizalama; hiçbir yerel imza testi yürütülmedi. Finans sistemleri sahibi, doğru kiracı ve amaçlanan yazar kimliğini oluşturmalı, ardından belgelenen özel alan desteğini veya şeffaf bir şekilde satıcı kaynaklı mesaj tasarımını incelemelidir. Portal testi faturalamayı doğrulamaz.
Müşteri yolculuğunu ve sınırları test edin
Bildirimi kontrollü bir test müşterisi hesabı aracılığıyla tetikleyin ve alınan mesajı saklayın. Görüntülenen kimliği, yanıt işlemeyi ve kimlik doğrulama sonucunu doğrulayın. Başka bir istemci çalışma alanındaki kullanıcının, bir bildirimin yetkisiz bir etki alanını kullanmasına veya ilk istemcinin belgelerine erişmesine neden olamayacağını ayrıca kontrol edin. Bu uygulama testleri gerekli kabul çalışmalarıdır. Bu varsayımsal kimlik karşılaştırması bu başvuru kontrollerini kapsamaz; burada hiçbir istemciler arası test yürütülmedi.
Uyumlu bir mesaj, yasal tavsiyeye yetkili olunduğunu, faturanın doğru olduğunu veya değiştirilen banka bilgilerine uyulması gerektiğini kanıtlamaz. Görev onayını, belge erişimini ve ödeme doğrulamasını bağımsız tutun. Bir sağlayıcı doğru şekilde imzalanmış bir mesaj gönderebiliyor diye müşterinin kabul ettiği iletişim kısıtlamalarından feragat etmeyin.
İlişkiyi temiz bir şekilde kapatın
Sözleşmenin feshi veya geçiş uygulaması sırasında, envanter bekleyen bildirimleri yapın, yalnızca yetkili kayıtları dışa aktarın ve kesin gönderme yetkisini iptal edin. Kimlerin yanıt almaya devam ettiğini ve toplu raporlama verilerini kimin tutabileceğini onaylayın. Terk edilmiş kimlik bilgilerini süresiz olarak etkin bırakmak yerine, kazara kesintiye karşı eski bir kurtarma planı kullanın. Mesleki gizlilik, ayrıcalık, sözleşme bildirimi ve saklama gereklilikleri, nitelikli inceleme gerektirir; bu makale, kimlik doğrulamanın bunları karşıladığına dair hiçbir yasal tespit veya güvence sağlamamaktadır.
Kurgusal yol haritası
Aşağıdaki açık kimlikler, gerçek müşteri yapılandırması değil, açıklayıcı girdilerdir. Bu alanlar ve sorumlu roller varsayımsaldır; müşteri onayları veya sağlanan imzalı mesajlar değildir. Hiçbir şifreleme testi veya teslimat gerçekleştirilmedi.
- Müşteri portalı: Müşteri platformu lideri; portal.firm.test'ten; zarf ve DKIM imzalayan portalı.firm.test.
- Faturalandırma aracı: Finans sistemleri lideri; billing.firm.test'ten; zarf ve DKIM imzalayan faturalandırma-vendor.test.
- Proje iletişimleri: Uygulama operasyonları liderliği; Projects.firm.test'ten; zarf ve DKIM imzalayan project.firm.test.
Yetkilendirmeyi ve belge erişimini ayrı ayrı çözümleyin
Fatura göndericisinin düzeltildiğini, ancak bir bildirim bağlantısının başka bir test müşterisinin belgesini açtığını varsayalım. Uygulamanın erişim sınırı başarısız olduğunda e-posta kimlik görevi kapsamlı denetimini geçebilir. Olay kanıtlarını onaylanmış kısıtlamalar dahilinde koruyun, etkilenen iş akışını tutun ve müşteri platformu sahibini araştırması için görevlendirin. Geçerli bir imzalı bildirimi, bağlantılı materyali ifşa etme yetkisiyle eşdeğer tutmayın. Bunlar varsayımsal koşullardır, gözlemlenen müşteri maruziyeti değildir.
OWASP'ın çok kiracılı kılavuzu1, 3 ve 6 numaralı bölümler güvenilir bağlamı, nesne yetkilendirmesini ve dosya yalıtımını destekler. RFC 9989 Bölüm 4.4, 5.3.5 ve 5.4 Hizalama ve mesaj işlemeyi iş içeriği güveninden ayırın. Diğer hizalanmış kimlik doğrulama, kararın tamamını etkileyebilir; p=reject dağıtım, Bölüm 7.4 ve 8 kapsamında geçerli DKIM gerektirir. SPF yalnız.