כדי להבטיח את הבטיחות והפרטיות של המשתמשים, אימיילים דינמיים כפופים לדרישות אבטחה ולהגבלות נוספות.
אימות השולח
כדי לוודא ששולח האימייל בפורמט AMP הוא לגיטימי, אימיילים שמכילים AMP עוברים את הבדיקות הבאות:
- האימייל צריך לעבור אימות DKIM (Domain Keys Identified Mail).
- הדומיין החתום המאומת באמצעות DKIM חייב להיות תואם לדומיין של האימייל בשדה
From. מידע נוסף זמין בקטע התאמת DKIM בהמשך. - האימייל צריך לעבור אימות של Sender Policy Framework (SPF).
בנוסף, מומלץ לשולחי אימיילים להשתמש במדיניות של פרוטוקול מבוסס-דומיין לאימות, דיווח והתאמה של הודעות (DMARC) עם הגדרת הטיפול quarantine או reject. יכול להיות שהכלל הזה יופעל בעתיד.
DKIM, SPF ו-DMARC מופיעים בשורות נפרדות באפשרות 'הצגת המקור' בתפריט של Gmail באינטרנט. מידע נוסף זמין במאמר איך בודקים אם הודעת Gmail מאומתת.
התאמת DKIM
כדי שאימות DKIM ייחשב כ'מתואם', הדומיין הארגוני של דומיין חתימה מאומת באמצעות DKIM אחד לפחות חייב להיות זהה לדומיין הארגוני של כתובת האימייל בכותרת From. זהו ערך שווה ערך להתאמה המותנת של מזהה DKIM כפי שהיא מוגדרת במפרט DMARC, RFC7489 סעיף 3.1.1.
דומיין ארגוני מוגדר בסעיף 3.2 של RFC7489, ונקרא גם החלק 'eTLD+1' בדומיין. לדוגמה, הדומיין foo.bar.example.com הוא הדומיין הארגוני של example.com.
דומיין החתימה המאומת באמצעות DKIM מתייחס לערך התג d= של חתימת ה-DKIM.
לדוגמה, אם חתימת DKIM מאומתת מאומתת בהצלחה באמצעות d=foo.example.com, הכותרות bar@foo.example.com, foo@example.com ו-foo@bar.example.com ייחשבו כתוויות תואמות אם הן מופיעות בכותרת From, אבל הכותרת user@gmail.com לא תיחשב כתובת תואמת כי gmail.com לא תואמת ל-example.com.
הצפנת TLS
כדי לוודא שהתוכן של אימייל AMP מוצפן במעבר, צריך להשתמש בהצפנת TLS לאימיילים שמכילים AMP.
סמל ב-Gmail מציין אם אימייל נשלח עם הצפנת TLS. מידע נוסף זמין במאמר איך בודקים אם ההודעה שקיבלתם מוצפנת.
HTTP proxy
כל הבקשות מסוג XMLHttpRequest (XHR) שמגיעות מאימייל AMP עוברות דרך שרת proxy. הדבר נעשה כדי להגן על פרטיות המשתמש.
כותרות CORS
כל נקודות הקצה של השרת שבהן נעשה שימוש על ידי amp-list ו-amp-form חייבות ליישם CORS ב-AMP לדואר אלקטרוני ולהגדיר בצורה נכונה את כותרת ה-HTTP AMP-Email-Allow-Sender.
הגבלות
בהמשך מפורטות הגבלות נוספות על כתובות URL.
כתובות אתרים להפניה מחדש
אסור להשתמש בהפניה אוטומטית מסוג HTTP בכתובות URL של XHR. בקשות שמחזירות קוד סטטוס מתוך הכיתה של ההפניה האוטומטית (טווח 3XX), כמו 302 Found או 308 Permanent Redirect, נכשלות, וכתוצאה מכך מוצגת הודעת אזהרה במסוף הדפדפן.