Google Workspace DMARC kurulumun birbirine bağlı dört aşaması vardır: alan adı için kimin gönderdiğini onaylama, uygun olanı yayınlama SPF Ve DKIM kayıtları yönetin, seçilen alan adı için DKIM imzalamayı başlatın ve bir DMARC politikasına güvenmeden önce ortaya çıkan mesajları doğrulayın.
DNS yayınlama ve imzalama ayrı gözlemlerdir. Hizmet henüz imzalanmadığında bir DKIM anahtarı görülebilir ve bir web sitesi veya faturalandırma uygulaması farklı bir sağlayıcı kullanırken çalışan postası doğru şekilde doğrulanabilir. Her önemli hizmet için rotanın tamamını izleyin.
Seçilen etki alanını ve mevcut yapılandırmayı kontrol edin
Seçilen alanı, yetkili DNS ana bilgisayarını, mevcut kayıtları ve görev için gereken Google yönetim izinlerini onaylayın. Mevcut konfigürasyonu kaydedin.
Geçerli bir SPF politikasının ve çalışan özel alan adı DKIM imzalamanın zaten mevcut olup olmadığını kontrol edin. Sadece yeni bir kılavuzu ilk adımından itibaren takip etmek için çalışan bir anahtarı yeniden oluşturmayın veya yerleşik bir politikayı değiştirmeyin.
Çalışan postaları, takma adlar veya ikincil alanlar, ağ geçitleri ve dış uygulamalar için bir rota listesi oluşturun. Her önemli kimlik için ayrı bir alınan mesaj testi planlayın.
Workspace dışına gönderen hizmetleri dahil edin
Web sitesi, muhasebe sistemi ve destek platformu diğer sağlayıcıları kullanırken Google Workspace çalışanların postalarını yönetebilir. Bir Workspace kurulumu otomatik olarak sahiplik oluşturamaz veya hizalama bu hizmetler için.
Ekipten, müşteriye yönelik her gönderenin ve işletme sahibinin adını vermesini isteyin. Giriş bağlantıları ve ödeme makbuzları gibi düşük hacimli ancak önemli postaları ekleyin. Ardından, başarılı bir Gmail testinin bunu kapsadığını varsaymak yerine, gerçek uygulamadan bir doğrulama sonucu isteyin.
Alan adının DNS hesabının ve rapor hedefinin bir başkasına ait olduğundan emin olun. Kayıtları eski bir yüklenici kontrol ettiğinde veya raporlar kimsenin okumadığı bir posta kutusuna ulaştığında kimlik doğrulamanın sürdürülmesi zorlaşır.
Uygun SPF politikasını yayınlayın
**Yalnızca Google Workspace ** yoluyla** gönderim yapan bir alan adı için Google'ın mevcut belgelenmiş örneği:
v=spf1 include:_spf.google.com ~allYalnızca varsayım uygun olduğunda kullanın. Karma hizmet alan adı için, tek SPF politikasını değiştirmeden önce mevcut izinleri ve gerçek zarf kimliklerini inceleyin. Sağlayıcısının kendi zarf alanını kullanan ayrı bir uygulama, farklı bir desteklenen hizalama yaklaşımı gerektirebilir.
The ~all niteleyici, başka türlü eşleşmeyen bir kaynak için bir SPF softfail üretir. Softfail, DMARC için başarılı bir SPF sonucu değildir ve her alıcıyı mesajı spam'e koymaya zorlamaz. Alıcı yönetimi ve ayrı DMARC kararı geçerliliğini koruyor.
İç içe bağımlılıklar da dahil olmak üzere SPF değerlendirme yolunu kontrol edin. Üst düzey kayıtta görünen içeriklerin sayılması yetersizdir.
Seçilen alanın DKIM anahtarını oluşturun ve yayınlayın
Google Yönetici konsolunda Uygulamalar, Google Workspace , Gmail ve ardından E-posta kimlik doğrulaması'na gidin. Doğru etki alanını seçin. Yeni bir imzalama kurulumuysa Yeni Kayıt Oluştur'u ve desteklenen tuş ayarlarını kullanın.
Google bir teklif sunuyor 2048 bit anahtar DNS sağlayıcısının desteklediği yer. Varsayılan seçici öyle google; mevcut bir seçici çarpışmasının üzerine yazma yerine desteklenen farklı bir seçiciye ihtiyacı vardır.
Oluşturulan DNS ana bilgisayar adını ve ortak anahtar değerini konsoldan kopyalayın. Bu ** TXT ** kaydını yetkili DNS bölgesinde yayınlayın. Ortak bir akraba sahibi adı: google. _domainkey, ancak seçilen alanın oluşturulan değerlerini ve DNS düzenleyicisinin adlandırma modelini kullanın.
Özel anahtar DNS yayınlanmaz. Bir makaleden kısaltılmış bir örnek anahtar yapıştırmayın, başka bir alanın anahtarını yeniden kullanmayın veya başka bir hizmetin seçicisini sessizce değiştirmeyin.
Ortaya çıkan tam addaki genel yanıtı kontrol edin:
dig TXT google._domainkey.example.com +kısaBu komut örnek niteliğindedir: etki alanını ve uygun olduğunda seçiciyi değiştirin. Herkese açık bir TXT yanıtı, Workspace'in imzalamaya başladığını değil, önemli yayının yapıldığını gösterir.
Alınan bir mesajı imzalamaya başlayın ve inceleyin
Anahtarı yayınlayıp kontrol ettikten sonra, seçilen alan adının Kimlik doğrulama e-posta ayarlarına dönün ve kimlik doğrulamayı başlatın. Ortaya çıkan durumu inceleyin.
Google'ın talimatları, kendinize mesaj göndermek yerine başka bir Gmail veya Google Workspace alıcısıyla test yapmayı açıklamaktadır. Orijinal mesajı alıcıda açın ve güvenilir kimlik doğrulama sonuçlarını inceleyin ve DKIM-Signature.
İmzalama alanını, seçiciyi ve görünen Kimden alanıyla hizalamayı doğrulayın. Farklı bir alan adına geçiş, alan adınızın uyumlu yolunu oluşturmaz. İlgili takma adlar, ikincil alanlar, ağ geçitleri ve uygulama yolları için testi tekrarlayın.
- Katman: DNS ; Cevaplanacak soru: Oluşturulan ortak anahtar amaçlanan adla yayınlanıyor mu?
- Katman: Çalışma Alanı; Yanıtlanacak soru: Seçilen alan adı için imzalama etkin mi?
- Katman: Alınan posta; Cevaplanacak soru: İlgili bir imza tam rotadan sonra doğrulanıyor ve hizalanıyor mu?
- Katman: İş iş akışı; Cevaplanacak soru: Hizmet kullanıcılarının gönderdiği mesaj gerçekten buna bağlı mıydı?
- Ovider kurulumu ve DNS önbelleğe alma zaman alabilir. Google ayrıca yeni etkinleştirilen Gmail hizmetleri için anahtar oluşturma öncesinde hazırlık gecikmesini de belgeliyor. Gerçek durumu ve mevcut rehberliği kullanın; evrensel bir tamamlanma süresi vaat etmeyin.
DMARC politikasını yayınlayın ve doğrulayın
Yeni izlenen bir alan adı için aynı alan adı raporlama örneği şöyledir:
v=DMARC1; p=none; rua=mailto:dmarc-reports@example.comUygun yerde yayınlayın _dmarc adını girin, çalışır durumdaki onaylı bir teslim alma adresi kullanın ve raporun gelişini ve işlenmesini onaylayın. Google şu anda DMARC kurulum adımından önce en az 48 saatlik SPF / DKIM işlemine izin verilmesini önermektedir. Bu hazırlık dönemi tek başına daha güçlü bir politikayı uygulamaya hazır olmayı sağlamaz.
Alanın zaten bir politikası varsa, bunu otomatik olarak izlemeyle değiştirmek yerine değerlendirin. DMARC kaydı iş akışı, DNS doğrulamasının gerçek mesaj kanıtlarına nasıl birleştirileceğini açıklar.
Hizmetler değiştikçe kapsamı koruyun
Uygulamayı gönderen envanterine ve kritik akış testlerine göre inceleyin. Bir etki alanına ilişkin ayar, her ikincil etki alanının veya harici bildirim hizmetinin durumunu kanıtlamaz.
Workspace ve DNS yönetim hesaplarına açık erişim gerektirme, bir kayıt onaylanmış değişiklikler, tutulan bir seçiciler listesi ve sorumlu bir rapor-inceleme süreci. Ekibin yeni tanıtılan bir uygulamayı veya terk edilen bir hizmeti nasıl ele alacağını tanımlayın.
Etki alanı kimlik doğrulaması ile hesap güvenliği arasındaki ayrımı koruyun. Güvenliği ihlal edilmiş yetkili bir hesap, kimliği doğrulanmış bir mesaj gönderebilir. DMARC geçişi aynı zamanda gelen kutusuna yerleşimi garanti etmez veya bir iş isteğinin meşru olduğunu kanıtlamaz.
Pratik paket servis
DNS kanıtını, imzalama durumunu ve alınan mesaj sonuçlarını aynı kabul kaydında tutun. Bu, yayınlama sorununu imzalama sorunundan veya hâlâ yapılandırma gerektiren ayrı bir uygulamadan ayırt etmeyi mümkün kılar.
Projenin kapatılmasından kısmi başarı elde edilmesini sağlayın
GW-01 yazılı durumunda, user@example.com s=google. ile d=example.com geçiş imzasına sahip olduğunu varsayalım. Belirtilen mesajın hizalanmış bir DKIM yolu var. Aynı Kimden alan adını kullanan bir fatura uygulamasının henüz güvenilir bir alınan mesaj kanıtı yoktur. DKIM ve SPF sonuçları ise bilinmiyor. Çalışan postalarını yalnızca varsayılan durumda koşullu olarak kanıtlanmış olarak işaretleyin ve fatura yolunu uygulama sahibine çözümlenmeden bırakın. Bu kılavuz için hiçbir Google kiracısı, mesajı, DNS kaydı veya imzalama işlemi test edilmedi.
Uygulama sınırını koruyun
RFC 9989 Bölüm 7.4, alan adı yayınlamak için yalnızca SPF değil geçerli DKIM gerektirir p=rejectve dolaylı posta ve posta listesinin birlikte çalışabilirliği konusunda uyarıda bulunur. Tek bir başarılı doğrudan mesaj testi, her meşru yolun daha güçlü politikaya hazır olduğunun kanıtı değildir. Gerçek açığı teşhis ederken mevcut onaylı korumayı koruyun; Herhangi bir politika değişikliğinin kendi kararına ihtiyacı vardır.