כדי לשמור על בטיחות המשתמשים והפרטיות שלהם, באימיילים דינמיים חלים דרישות נוספות ודרישות אבטחה והגבלות.
אימות השולח
כדי לוודא שהשולח של הודעת אימייל מסוג AMP הוא חוקי, הודעות אימייל שמכילות AMP בכפוף לבדיקות הבאות:
- האימייל חייב לעבור אימות של מפתחות דומיין Identified Mail (DKIM).
- הדומיין החתימה שאומת באמצעות DKIM חייב להיות תואם לדומיין של האימייל בשדה
From. פרטים נוספים מופיעים בקטע התאמה ל-DKIM בהמשך. - האימייל חייב לעבור את הבדיקות של אימות מסגרת של מדיניות השולח (SPF).
בנוסף, מומלץ לשולחי אימייל להשתמש במדיניות מבוססת-דומיין לאימות, דיווח והתאמה של הודעות (DMARC)
שהערך שלו מוגדר ל-quarantine או ל-reject. לאכיפה
העתידי.
DKIM, SPF ו-DMARC מופיעים כשורות נפרדות בעמודה 'הצגת המקור' אפשרות התפריט ב-Gmail באינטרנט. צפייה איך בודקים אם הודעת Gmail מאומתת אפשר לקבל מידע נוסף.
יישור DKIM
כדי שאימות DKIM ייחשב 'תואם', הדומיין הארגוני
של לפחות דומיין חתימה אחד שמאומת באמצעות DKIM חייב להיות זהה
הדומיין הארגוני של כתובת האימייל בכותרת From. היא מקבילה
התאמת מזהה DKIM פשוטה יותר כפי שמוגדר במפרט DMARC,
RFC7489 סעיף 3.1.1.
הדומיין הארגוני מוגדר ב-RFC7489 בסעיף 3.2
ומכונה גם eTLD+1 חלק מהדומיין. לדוגמה, הדומיין foo.bar.example.com
הדומיין הארגוני שלו הוא example.com.
דומיין חתימה באימות DKIM מתייחס לערך של התג d= של
חתימת DKIM.
לדוגמה, אם חתימת DKIM מאומתת נמצאת בהצלחה בתהליך אימות עם
d=foo.example.com, לאחר מכן bar@foo.example.com, foo@example.com
כל הערכים של foo@bar.example.com ייחשבו תואמים אם הם קיימים ב-From
הכותרת לא מתאימה, ואילו user@gmail.com לא מתאים, כי gmail.com לא תואם
example.com.
הצפנת TLS
כדי לוודא שהתוכן של הודעת אימייל מסוג AMP יוצפן בזמן ההעברה, צריך הצפנת הודעות אימייל באמצעות TLS שמכיל AMP.
סמל ב-Gmail מציין אם הודעת אימייל נשלחה עם הצפנת TLS. צפייה איך לבדוק אם ההודעה שקיבלתם מוצפנת אפשר לקבל מידע נוסף.
HTTP proxy
כל קובצי XMLHttpRequests (XHRs) שמקורם באימייל AMP עוברים דרך שרת proxy. הדבר נעשה כדי להגן על פרטיות המשתמש.
כותרות CORS
צריך להטמיע את כל נקודות הקצה של השרת שמשמשות את amp-list ואת amp-form
CORS ב-AMP לאימייל
ומגדירים בצורה נכונה את כותרת ה-HTTP AMP-Email-Allow-Sender.
הגבלות
בהמשך מתוארות הגבלות נוספות על כתובות URL.
כתובות אתרים להפניה מחדש
אסור להשתמש בהפניה אוטומטית מסוג HTTP בכתובות URL מסוג XHR. בקשות שמחזירות קוד סטטוס מ-
מחלקה של ההפניה האוטומטית (טווח של 3XX), כמו 302 Found או 308 Permanent Redirect
תיכשל, ותוצג הודעת אזהרה של מסוף הדפדפן.