[ 寄送服务指南 ]

Shopify 发件人身份验证:保护客户认可的地址

分别检查 Shopify 管理的 DNS 和第三方DNS ,保留所需的记录并测试重要的客户通知。

由EmailAuth研究团队提供 · 5 分钟阅读

在此页面上

Shopify 商店的网站域及其发件人身份是具有不同技术依赖性的相关业务资产。正常运作的店面不能证明订单确认使用品牌发件人地址或通过一致的身份验证。

从为商店配置的发件人电子邮件以及 at 符号后面的域开始。确定谁控制该域的活动DNS 。然后查看 Shopify 的身份验证状态以获取相同的身份。

确定管理路径

Shopify 当前的说明将其管理的域与第三方DNS分开来。已经可以为 Shopify 购买的域管理身份验证,而受支持的第三方提供商可以提供自动连接。其他配置使用手动更改。

不要假设每家商店都需要相同的工作。在发出DNS请求之前检查商店的当前状态。如果身份验证受到管理,请确认其状态并检查收到的通知,而不是在其他地方重新创建托管记录。

对于第三方域,请使用与商店的发件人电子邮件关联的身份验证工作流程。查看自动连接建议更改并保留生成的记录名称的内容。自动化应该让所有者能够理解和维护配置。

在 Shopify 后台中,打开设置 > 通知 > 发件人电子邮件 > 电子邮件域身份验证。对于受支持的第三方DNS提供商,自动身份验证会配置 CNAME,而不是 DMARC。检查现有的适用 DMARC记录 并在需要时单独添加或更新。

使用显示的记录,而不是历史的SPF配方

Shopify 目前将手动设置定向到其生成的 CNAME 记录和适用的DMARC记录。发布每个所需的生成记录及其确切类型和目标。授权猜测的 IP 范围的通用指令并不能替代。

在手动设置之前,请确认商店采用有效的付费计划。 Shopify 从此CNAME设置中排除客户转移商店、开发商店以及暂停和构建商店。生成的 CNAME 句柄 SPF 和 DKIM;单独的SPF TXT记录 此 Shopify 发件人电子邮件设置不需要。

如果域已有DMARC策略,请在上下文中评估该策略。添加 Shopify 不应默默地删除报告或削弱涵盖其他服务的运营政策。

使用活动的权威DNS区域。检查编辑器是否需要相对所有者名称或完整主机名。非活动面板中看起来正确的值无助于收件人验证邮件。

让任何CNAME所有者冲突在更改请求中可见。当另一个服务依赖于同一DNS名称时,不能随意改变其用途。在发布之前解决预期的配置。

将更新状态视为特定维护任务

Shopify 记录了已更改或缺失的预期 CNAME 的更新建议状态。它本身并不能证明所有当前发送已停止。

将显示的要求与权威答案进行比较,并遵循适用的更新工作流程。当前的说明要求保留现有的必需 CNAME,同时添加或更正相关记录。不要仅仅因为出现新值就删除旧集。

对于托管记录,请使用支持的管理或支持路径。区分商店可以编辑的配置和 Shopify 控制的配置。

验证真实的客户通知

使用受控订单或其他受支持的测试来执行您正在评估的通知途径。避免向客户发送未经请求的测试。使用适当的访问控制保存收到的原件。

检查可见的发件人地址、签名身份和可信身份验证结果。记录预期的品牌标识是否存在以及通过的SPF或DKIM路径是否与其一致。 Reply-To 是一个单独的字段;可识别的回复地址不会建立DMARC 结盟.

在综合示例中,商店老板看到结帐成功并假设电子邮件已准备就绪。收到的确认使用重写的发件人地址。有用的调查从实际身份和商店的身份验证状态开始,然后检查生成的DNS要求。更改网站的 一个记录 将解决不同的依赖关系。

如果其他重要工作流程使用不同的服务,则单独测试它们。外部营销应用程序或支持台可能根本不使用 Shopify 的通知路由。

让商店为下一次变化做好准备

保留存储参考、发件人域、 DNS所有者、托管或手动路径、所需记录集和消息证据。记录域转移、存储迁移或新发件人地址后检查身份验证的人员。

成功的身份验证测试支持身份验证。它不保证收件箱的放置、客户参与或防止从某个地方发送的消息。 相似域名。这些结果需要单独的控制和证据。

使用 发件人库存 让 Shopify 与其他授权服务并存。当商店使用预期的身份并且团队可以演示和维护它时,设置就完成了。

完成工作流程并读取状态

使用 当前的 Shopify 身份验证工作流程,然后返回相同的发件人电子邮件状态:

  1. 打开设置 > 通知 > 发件人电子邮件 > 电子邮件域身份验证。
  2. 对于支持的自动连接,请完成提供商的审批流程并使用其返回按钮返回 Shopify。提前关闭提供者窗口可能会使检查未开始;使用手动设置并更新DNS记录来启动它。
  3. 对于手动设置,请在正确的DNS区域中发布每个显示的CNAME并触发检查。单独验证第三方DMARC ;自动CNAME设置不会创建它。
  4. 将结果与预期的发件人身份和受控接收的通知进行比较,而不仅仅是绿色网站域状态。

Shopify 允许最多 48 小时进行DNS更改。它是 更新工作流程 区分这些维护状态:

状态下一步行动
已认证无需认证更新;保留记录。
更新推荐该域仍然经过身份验证。更新是可选的,没有截止日期;添加或更正指定的 CNAME,而不删除所需的现有 CNAME。
更新后传播等待一段时间并将DNS与显示的值进行比较。如果大约一天后没有找到记录,状态可以返回到UpdateRecommended;重新检查值并使用我更新的DNS记录。

对于仍建议更新的 Shopify 管理记录,请通过支持的路径联系 Shopify 客服。在等待邮件检查期间,不要重复替换不相关的网站记录。

[ 按角色 ]

这对您意味着什么

选择您的角色以执行后续实际步骤。

IT/邮件管理员

使存储状态与公共DNS保持一致。

托管记录、生成的更新和单独的应用程序需要自己的证据。

后续步骤

  1. 确定实际的权威DNS所有者。
  2. 在受支持的更新期间保留所需的 CNAME。
  3. 记录来源、签名身份和可信结果。

CISO / SecOps

保持控制边界清晰。

身份认证支持合法的发送路由;它并不能消除相似的滥用或所有交付风险。

后续步骤

  1. 将外部商店应用程序包含在库存中。
  2. 控制自动 DNS 更改权限。
  3. 保留范围配置和测试证据。

创始人/非技术人员

保护客户认可时刻。

订单确认应使用预期的身份,并且有人应该能够证明他们这样做的原因。

后续步骤

  1. 确认配置的发件人域。
  2. 查看受控收到的通知。
  3. 商店或域更改后分配所有权。

[ 常见问题解答 ]

常见问题

正常运行的 Shopify 店面是否证明电子邮件身份验证有效?

否。检查发件人身份、活动DNS配置和收到的客户通知。网站可用性是一个不同的依赖项。

所有 Shopify 域都需要手动DNS设置吗?

否。检查管理路径和认证状态。 Shopify 文档管理并支持自动路径以及手动配置。自动第三方身份验证不会创建DMARC ;单独检查一下。

我应该将 Shopify IP 地址添加到根SPF吗?

遵循为当前商店配置生成的记录。请勿用猜测的 IP 或历史配方替换显示的身份验证要求。

推荐更新是什么意思?

将当前所需的 CNAME 与DNS进行比较。 Shopify 描述了邮件继续发送时可能存在的维护状态;它没有建立完全的发送中断。

当新的 CNAME 出现时,我可以删除旧的 CNAME 吗?

保留现有的必需记录并遵循适用的更新说明。删除活动依赖项而不检查其角色可能会中断验证。

为什么我的客户通知使用不同的发件人地址?

检查实际消息并存储发件人身份验证状态。重写的身份需要进行该调查,而不是不相关的网站DNS更改。

Reply-To 是否确定DMARC对齐方式?

不需要DMARC使用可见的发件人域和相关的经过身份验证的SPF或DKIM身份。 Reply-To 具有单独的回复路由目的。

Shopify 身份验证是否也涵盖外部营销工具?

为每个工作流建立实际的发送路由。单独的应用程序可能需要自己的帐户、域身份验证和接收消息验证。

[ 来源 ]

来源

  1. Shopify:发件人电子邮件设置和身份验证
  2. RFC 9989 : DMARC核心协议
  3. RFC 6376 :域名密钥识别邮件
  4. RFC 1034 : DNS概念和设施

[ 词汇表 ]

词汇表

DMARC
基于域的消息身份验证、报告和一致性将一致的身份验证与域所有者策略和反馈连接起来。它不证明消息内容或保证传递。
DMARC对齐
可见发件人域与传递的SPF或DKIM身份之间所需的关系。严格对齐需要精确的域匹配;宽松的对齐使用适用的组织域关系。
权威DNS
负责相关公共区域的委派服务器。在不同提供商的非活动面板中进行编辑不会更改他们的答案。
DKIM
域密钥识别邮件将覆盖邮件内容的可验证签名与签名域相关联。签名验证和DMARC对齐是单独的测试。
DKIM选择器
DKIM-Signature中的 s= 值。与该签名的 d= 域一起,它在_domainkey下找到验证材料。

企业出处

为什么顶级金融机构和政府 退役了他们的电子邮件安全仪表板。

传统的电子邮件身份验证平台会向您出售仪表板并要求您的工程师来完成这项工作。在高风险环境中,手动监督意味着延迟执行、配置漂移和不受监控的影子域。

EmailAuth是代理电子邮件来源平台。 我们的代理人强制执行 p=reject,保持第三方发件人一致并将您的域名移至完整状态 RFC 9989 合规性、新的DMARC标准,以及人机交互审核能力。

政府 大型企业 一级金融机构

SaaS · 专用租赁 · 气隙本地部署 · BYOK 加密

知识库