Bağlantının neyi başaracağına karar verin
DNS entegrasyonu, müşterinin en geniş kimlik bilgisi talebiyle değil, dar bir hizmet sonucuyla başlamalıdır. Seçilen kayıtları bir değerlendirme için okumak, düzeltme önermek ve onaylanmış bir değişikliği uygulamak farklı işlerdir. Hangi işin gerekli olduğunu, hangi müşterinin buna yetki verdiğini ve hangi kayıtların ilgili olduğunu yazın. "Otomatik kurulum" gibi bir kolaylık iddiası, devredilen yetkiyi açıklamaz.
Bu, EmailAuth entegrasyonunun bir gösterimi değil, önerilen bir değerlendirme sürecidir. Hiçbir hesaba, jetona, API uç noktasına veya müşteri alanına erişilmedi. Kamu sağlayıcı belgeleri 8 Kasım 2026'da gözden geçirildi; gerçek uç nokta uyumluluğu, kiracı kontrolleri ve uygulama doğrulanmadı. Entegrasyon onayını, kimlik bilgisi oluşturma ve sonraki DNS değişiklik onaylarından ayrı tutun.
Gerçek yetkiyi ve veri sınırını bulun
Etki alanını, yetkili DNS sağlayıcısını, belirli bölgeyi ve devredilen tüm alt bölgeleri tanımlayın. Kayıt memurunun hesabının mutlaka aktif kayıtların bulunduğu yer olması gerekmez. Bir sağlayıcı hesabı aynı zamanda benzer şekilde adlandırılmış etkin olmayan bir bölge veya farklı bir hedef kitleye hizmet veren özel bir bölge de içerebilir. Entegrasyonun neyi okuması gerektiğine karar vermeden önce amaçlanan yetkiyi belirleyin. RFC 1034 yetkili bölgeler ile önbelleğe alınmış çözünürlük arasındaki temel ayrımı sağlar.
Bu sınırı terk eden bilgiyi açıklayın. Bir kayıt listesi yanıtı, genel DNS göstermediği yönetim yorumlarını veya etiketleri içerebilir. Müşteri tanımlayıcıları, bölge envanterleri ve zaman damgaları da birleştirildiğinde iş ilişkilerini ortaya çıkarabilir. Hedef, saklama, destek erişimi ve silme sürecini gözden geçirin. Kamu kayıtlarını inceleme izni, bir sağlayıcı hesabının tamamının başka bir hizmete kopyalanmasına otomatik olarak yetki vermez.
Yetenekleri açık bir izin matrisine dönüştürün
Gerekli her işlem için belgelenen uç noktayı, izni, kaynağı kaydedin seçici ve beklenen çıktı. Yasaklanan işlemler için bir sütun ekleyin. Salt okunur bir değerlendirmenin oluşturma, güncelleme veya silme özelliği bulunmamalı ve bir şablonun bunları varsayılan olarak seçmesi nedeniyle ilgisiz bölgelere erişim gerektirmemelidir. Entegrasyonun bunları kullanmaktan kaçınacağını varsaymak yerine, açıklanmayan izinleri reddedin.
Cloudflare mevcut izin referansı, DNS Okumayı DNS Yazma'dan ayırır. Belirteç kılavuzu, bölgeye özgü kaynak kapsamını, isteğe bağlı süre sonu ve istemci IP kısıtlamalarını açıklar. DNS listesi uç noktası, DNS Okumayı veya DNS Yazmayı kabul eder, dolayısıyla yazma özellikli bir belirtecin kayıtları listeleyebilmesi, yazma erişimi vermek için bir neden değildir. Bunlar Cloudflare örnekleridir, her sağlayıcının ayrıntı düzeyine ilişkin iddialar değildir. İzinler Ve belirteç kapsamı yanında değerlendirilmeli kesin bitiş noktası.
Amazon Route 53 izin verilen kayıt adları, kayıt türleri ve değişiklik eylemleri için koşullar sunar. Bu kontroller, daha sonraki bir yazma iş akışının haklı olup olmadığını değerlendirmek için faydalıdır; her okuma uç noktasını aynı şekilde kısıtladıkları varsayılmamalıdır. Başka bir satıcının izin etiketini tam anlamıyla çevirmek yerine eylem ve kaynak anlambilimini kontrol edin. Route 53 durum rehberliği ürüne özel referanstır.
Pazarlama etiketleri yerine yaptırımları inceleyin
Entegrasyonun müşteriyi bölge tanımlayıcısına nasıl bağladığını ve bir müşterinin isteğinin başka bir müşterinin kaynağını seçmesini nasıl engellediğini sorun. Yetkilendirmenin yalnızca bir kontrol paneli seçeneğini gizleyerek değil, hizmet sınırında da uygulandığını kontrol edin. Erişimin süresi dolduğunda, bir kaynak kaybolduğunda veya izin reddedildiğinde ne olacağını inceleyin. Doğru yanıt, sessiz ayrıcalık genişletmesi değil, tamamlanmamış veya engellenmiş bir değerlendirmedir.
OWASP'ın yetkilendirme kılavuzu, her istekte en az ayrıcalık, varsayılan reddi ve izinlerin kontrol edilmesini önerir. Bu ilkeleri entegrasyona özel bir incelemeye uygulayın: Her bir kısıtlamanın hangi kontrolün uyguladığını ve bunun işe yaradığını hangi bağımsız kanıtların gösterdiğini belgeleyin. Ayarların ekran görüntüsü yararlı bir bağlamdır ancak yasak bir işlemin yürütülemeyeceği anlamına gelmez. OWASP Yetkilendirme Hile Sayfası.
Kimlik bilgisi sahipliğini ve geri çekilmesini planlayın
Kalıcı erişimi onaylamaktan sorumlu kişinin, sırrı saklamaktan sorumlu hizmetin ve sırrı geri çekebilecek operatörün adını verin. İnceleme paketine kimlik bilgisi değerini değil, gizli olmayan bir kimlik bilgisi referansını kaydedin. Erişimi sağlamadan veya yapılandırmadan önce desteklenen bir güvenli aktarım ve açık onay isteyin. Gizli bilgiler içeren ekran görüntülerinden, komut geçmişlerinden, sorun eklerinden ve kopyalanmış HTTP başlıklarından kaçının.
Bu inceleme sırasında süre sonu, rotasyon, iptal ve olay yönetimini bunları gerçekleştirmeden değerlendirin. Bağlantının kesildiği bir kontrol paneli mutlaka sağlayıcı kimlik bilgilerinin iptal edildiği anlamına gelmez. Bunun tersine, paylaşılan bir kimlik bilgisinin iptal edilmesi ilgisiz çalışmaların kesintiye uğramasına neden olabilir. Bir para çekme yöntemi seçmeden önce envanter bağımlılıkları ve sahibin erişimin sona erdiğini nasıl doğrulayacağını tanımlayın. Bu yaşam döngüsü bir onay koşuludur, hesap güvenliğini hemen değiştirme talimatı değildir.
Bağlantı sağlığını DNS gerçeğinden ayırın
Başarılı bir yetkilendirme kontrolü, yalnızca o kontrolün gerçekte neyi test ettiğini belirler. Listeleme bir kayıt ayrıca kamuya açık yetkili sunucuların hizmet verdiğinin kanıtı değildir. Route 53 listeleme işleminin henüz tüm DNS sunucularında bulunmayan bekleyen kayıtları döndürebileceğini açıkça belgelemektedir. Yetkili yayından sonra bile özyinelemeli gözlemler önbelleğe alma nedeniyle farklılık gösterebilir. Route 53 listesi davranışı.
Kurgusal bir incelemede, bir entegrasyon, günlük TXT envanteri için her müşteri bölgesine yazma erişimi talep ediyor. Gözden geçiren kişi belgelenmiş okuma işlemini ve tek bölgeli kapsamı ister, ardından satıcı uyumsuzluğu açıklayana kadar onayı beklemede bırakır. Hiçbir şey bağlantılı değildir ve bağlantının olmaması, başarısız bir müşteri hizmeti değildir. Gereksiz yetki verilmeden önce verilen yararlı bir karardır.
Kanıta dayalı bir kararla kapanış
Çözülmemiş veri işleme, izin ve sahiplik soruları da dahil olmak üzere, onaylama, reddetme veya açıklama için geri gönderme işlemlerini kaydedin. Onay, yeni uç nokta veya genişletilmiş kaynak seçimi gibi kesin erişim kapsamını ve inceleme tetikleyicisini adlandırmalıdır. Keyfi DNS değişiklikleri için kalıcı bir izin olmamalıdır.
Kataloğun orijinal kanıt gereksinimi hala açık: Sahibin tam adını ve kayıt türünü içeren, zaman damgalı, yetkili ve özyinelemeli yanıtlar. Bu belgesel izin incelemesi bu gözlemleri sağlayamaz. Teknik KOBİ incelemesi, güvenlik ve mahremiyetin kabulü, kiracı doğrulaması, operasyonel kanıtlar ve yayın onayı hâlâ gereklidir.