Tam GoodData ürününü ve rotasını doğrulayın
Bu kılavuzu destekleyen birinci taraf prosedürü GoodData Legacy Growth, Configuration olarak etiketlenmiştir. DKIM Giden E-posta için. Beyaz etiketli giden postalarla ilgilidir ve hem müşteri hem de GoodData tarafında çalışma yapılmasını gerektirir. Mevcut GoodData Cloud'a, başka bir plana veya farklı bir bildirim hizmetine otomatik olarak uygulamayın.
Hesap sahibiyle ürünü, beyaz etiketli etki alanını, amaçlanan adresleri ve gerçek mesaj iş akışlarını onaylayarak başlayın. Beyaz etiket yapılandırmasını yöneten DNS yöneticisini ve GoodData destek sahibini tanımlayın. Özel uygulama URL'si veya markalama teması, giden e-postanın aynı alan adıyla imzalandığının kanıtı değildir.
Okuyucunun görevi, desteklenen bir imzalama düzenlemesi oluşturmak ve ardından amaçlanan postayı test etmektir. Kataloğun geniş sağlayıcı etiketi, her GoodData ürününün aynısını desteklediği iddiasını haklı çıkarmaz seçici, aktarma veya anahtar yönetimi süreci. Belgelenen eski kapsam kiracınızla eşleşmiyorsa DNS değiştirmeden önce eşleşen birinci taraf prosedürünü edinin.
Desteklenen bir anahtar düzenlemesini seçin
Eski Büyüme belgeleri, alternatif olarak GoodData tarafından oluşturulan benzersiz bir anahtarla birlikte belirli bir özel anahtarın kullanımını veya bir GoodData paylaşılan anahtarının kullanımını açıklamaktadır. Paylaşılan anahtar yolunda Destek, genel anahtarı içeren bir DNS kaydı sağlar. Spesifik anahtar yolunda taraflar, seçiciyi ve etki alanını imzalama yapılandırmasıyla koordine eder. Müşterilerin bu kılavuzdan kopyalaması için hiçbir evrensel seçici veya genel anahtar değeri sağlanmamıştır.
Kuruluşun imzalama anahtarı sahipliği politikasına uyan ve gereksiz maruz kalmayı en aza indiren bir düzenlemeyi tercih edin. Anahtarı kimin oluşturduğunu, onu kimin kullanabileceğini, rotasyonun nasıl koordine edildiğini ve hizmet kullanımdan kaldırıldığında sağlayıcının imzalama yetkisinin nasıl kaldırılacağını netleştirin. Genel bir DNS kaydı geniş çapta görünür olabilir; özel anahtar aynı şekilde ele alınamaz.
Sağlayıcı belgeleri, müşteri tarafından sağlanan özel anahtar kullanıldığında şifreli aktarımı açıklar. Özel anahtarı sohbete, sıradan bir destek yorumuna, herkese açık bir belgeye veya DNS yapıştırmayın. Yetkili güvenlik sahibinin amaçlanan alıcıyı ve güvenli aktarım sürecini doğrulamasını sağlayın. Sağlayıcı tarafından oluşturulan bir alternatifi talep etmek veya kabul etmek, yine de özel imzalama materyalini kimin elinde tuttuğunu ve kontrol ettiğini anlamayı gerektirir.
Yalnızca herkese açık doğrulama materyalini yayınlayın
Desteklenen kurulumdan tam kayıt türünü, tam sahibi, seçiciyi ve genel değeri edinin. Bunları onaylanmış imzalama alanıyla karşılaştırın. Göreli ad alanı bölgeyi otomatik olarak ekleyebileceği için gerekli DNS düzenleyici etiketini ayrı olarak kaydedin. Değişiklik yapmadan önce mevcut seçicinin zaten başka bir posta hizmetine ait olup olmadığını kontrol edin.
A DKIM imzası d=example.com ve s=analytics1 ile anahtarını analytics1._domainkey.example.com adresinde arar. Bu bir GoodData varsayılanı değil, sentetik bir ad yapısı örneğidir. Farklı bir seçici veya alan adı altında doğru şekilde yayınlanan bir anahtar, bu imzayı doğrulamaz. Editör uzun bir süreyi temsil ettiğinde tüm kamusal değeri ve kayıt sınırlarını koruyun. TXT kaydı birden çok dize olarak.
Yayınlandıktan sonra, tam sahibi için yetkili DNS sorgulayın. Yanıtları koruyun ve etkin delegasyonun düzenlediğiniz kaydı sunduğunu doğrulayın. Ardından destek sahibinin GoodData tarafı yapılandırmasını tamamlamasını sağlayın. Etkinleştirmeyi imzalamadan DNS yayını, görevin yalnızca yarısıdır.
İsteğe bağlı SPF hizalamadan ayrı tutun
Eski Büyüme sayfası listeleri include:relays.gooddata.com SPF posta geçişlerini yetkilendirmeye ek olarak. Kullanmadan önce bunun geçerli rota olduğunu doğrulayın. Yalnızca kuruluşta ilgisiz bir GoodData iş akışı mevcut olduğu için eklemeyin ve aynı sahipte ikinci bir SPF politikası oluşturmayın.
Gerekli tüm SPF güncellemelerini bir bütün olarak inceleyin: Mevcut onaylı gönderenleri koruyun, politikanın DNS arama bağımlılıklarını kontrol edin ve terminal davranışını onaylayın. Açık bir bakım planı olmadan geçiş IP adreslerini statik bir izin verilenler listesine kopyalamaktan kaçının. Sağlayıcı tarafından yönetilen yetkilendirme hedefi ve bugünün yanıtlarının dondurulmuş listesi, farklı operasyonel sonuçlara sahiptir.
Tek başına SPF başarısı kanıtlanmaz DMARC hizalama. Değerlendirilen kimlik Zarf göndereni ihtisas. Bir mesaj, Kimden alanında alan adınızı gösterirken sağlayıcıya ait bir zarf kullanıyorsa bu sağlayıcı alan adına ait SPF geçişi, alan adınızla uyumlu değildir. Görünür Kimden ile hizalanmış, geçen bir DKIM imzası gerekli yolu sağlayabilir.
Gerçek bir beyaz etiketli mesajı test edin
Kapsam dahilindeki her malzeme iş akışını kontrollü, yetkili bir test posta kutusuna tetikleyin. Alınan ham mesajı saklayın ve iş akışını, gönderen yapılandırmasını ve test süresini not edin. Görünür Kimden, zarf kimliğini, her DKIM imzalama alanını ve seçiciyi ve güvenilir alıcı kimlik doğrulama sonuçlarını kaydedin. Bu değerleri yalnızca beyaz etiketli URL'den veya imzalayan görüntüden çıkarmayın.
Sentetik kabul örneği: reports@example.com adresinden, mesajın DKIM imzası d=example.com ile doğrulanır ve alıcı DMARC bu hizalanmış yolda başarıyla değerlendirir. SPF yalnızca ilgisiz bir zarf alanı için geçse bile tam olarak hizalanmış DKIM , DMARC yolunu sağlayabilir. İmza bunun yerine ilgisiz farklı bir etki alanı kullanıyorsa, tek başına bir DKIM geçişi bu kabul sonucunu desteklemek için yeterli değildir.
Anahtar rotasyonundan veya posta aktarımında bir değişiklikten sonra örneği tekrarlayın. Beklenen imza yoksa daha fazla kayıt eklemeden önce GoodData tarafı aktivasyonunu ve gerçek iş akışını kontrol edin. İmza mevcut ancak geçersizse seçiciyi, etki alanını, genel anahtarı ve tüm mesaj değişikliklerini karşılaştırın. Kimlik doğrulama başarılı ancak teslimat zayıfsa, diğer alıcı ve itibar faktörlerini ayrı ayrı araştırın.
Rotasyon, emeklilik ve iyileşmeyi planlayın
İmza düzenlemesinin her bir kısmı için değişiklik öncesi kayıt setini ve belgelenmiş bir sahibini saklayın. Sağlayıcının yeni bir seçiciyle imzalamaya başlayacağı zamanı ve genel anahtarın kullanılabilir olacağı zamanı koordine edin. Tek bir kaydın silinmesinin tüm yetenekleri iptal edeceğini veya eski bir anahtarın hemen silinmesinin, önceden gönderilmiş postaların teslim edilmeye devam etmesi açısından güvenli olduğunu varsaymayın.
Entegrasyonu kullanımdan kaldırırken seçicileri veya SPF izinlerini kaldırmadan önce hiçbir iş akışının hâlâ buna ihtiyaç duymadığını doğrulayın. Kuruluşun güvenlik süreci kapsamında özel anahtar saklama ve sağlayıcı tarafı imzalama erişimini uzlaştırın. Bir anahtarın açığa çıkması durumunda, sorunu normal bir DNS önbellek gecikmesi olarak ele almak yerine bir olay ve rotasyon süreci kullanın.
Bu, özel olarak etiketlenmiş eski bir ürüne yönelik belgesel bir kılavuzdur. Örnekler sentetiktir. Hiçbir özel anahtara, kiracı yapılandırmasına, DNS değişikliğine, destek değişimine veya teslim edilen GoodData mesajına erişilmedi veya test edilmedi. Üretim doğrulaması ve daha geniş ürün kapsamına ilişkin kararlar hesap ve güvenlik sahiplerine aittir.
Rotanın tamamlanmasını çağırmadan önce bir aktivasyon defteri kullanın
Yazılı senaryo GD-01, kiracının Eski Büyüme'nin onaylandığını, onaylanan Kimden'in reports@example.com olduğunu ve kabul edilen açıklayıcı seçicinin analitik1 olduğunu varsayar. DNS sahibinin, analytics1._domainkey.example.com adresinde belirlenmiş bir genel anahtarı bulunurken, sağlayıcı tarafı imzalama aktivasyonu onaylanmadı. DNS tek başına görevi kapatamaz. Beyaz etiket sahibinden desteklenen imzalama yapılandırmasının onayını almasını isteyin ve ardından zararsız bir yetkili bildirimi inceleyin. d=example.com, s=analytics1 ile daha sonraki bir varsayımsal güvenilir DKIM geçişi tam hizalama sağlayacaktır, ancak bu kanıt mevcut olana kadar mesajın sonucu bilinmemektedir. Burada hiçbir özel anahtar, destek talebi, DNS araması veya kiracı eylemi kullanılmadı.
Uygulama sınırını koruyun
RFC 9989 Bölüm 7.4, alan adı yayınlamak için yalnızca SPF değil geçerli DKIM gerektirir p=rejectve dolaylı posta ve posta listesinin birlikte çalışabilirliği konusunda uyarıda bulunur. Tek bir başarılı doğrudan mesaj testi, her meşru yolun daha güçlü politikaya hazır olduğunun kanıtı değildir. Gerçek açığı teşhis ederken mevcut onaylı korumayı koruyun; Herhangi bir politika değişikliğinin kendi kararına ihtiyacı vardır.