Zabezpieczanie działań

Na tej stronie opisujemy, jak Gmail zabezpiecza dostarczanie i wykonywanie działań.

Zabezpieczenia egzekwowane przez Google

W przypadku schematów umieszczonych w e-mailach muszą spełniać te warunki:

• Rejestracja: nadawca musi zarejestrować się w Google.
• SPF lub DKIM: e-maile ze znacznikami schematu muszą pochodzić z domen uwierzytelnionych za pomocą SPF lub DKIM.

Dodatkowe wskaźniki wymagane do działań w tekście

Aby zabezpieczyć działania wbudowane, wymagane są lub zalecane dodatkowe środki bezpieczeństwa:

• HTTPS: wszystkie działania muszą być wykonywane przy użyciu adresów URL HTTPS. Hosty muszą mieć zainstalowane ważne certyfikaty SSL serwera.
• Tokeny dostępu: zalecamy, aby nadawcy korzystający z akcji umieszczać w adresach URL działań tokeny dostępu o ograniczonym wykorzystaniu, aby chronić się przed atakami powtórzonymi. Jest to zwykle dobra metoda w przypadku wszystkich adresów URL umieszczonych na stronach internetowych lub w e-mailach, które po wywołaniu mogą mieć skutki uboczne.
• Bearer Authorization: zaleca się, aby usługi obsługujące żądania działań weryfikowały „autoryzację” HTTP. w nagłówku żądania HTTPS. Ten nagłówek będzie zawierał „token okaziciela”. dowodząc, że źródłem żądania jest google.com i że żądanie jest przeznaczone dla określonej usługi. Usługi powinny korzystać z udostępnionej przez Google biblioteki open source do weryfikacji tokena okaziciela.

.

Uwaga: tokeny okaziciela w nagłówkach autoryzacji nie są domyślnie wysyłane. Jeśli wymagaj wysłania tokena okaziciela, poproś o niego, gdy rejestracji w Google.

Zabezpieczanie wzorców dostępu do e-maili na skraju sytuacji

Istnieją różne warianty przekierowania poczty elektronicznej i wzorców dostępu, które Gmail obsługuje, aby zabezpieczyć działania w e-mailach. Następujące pomiary wykonuje się ZA DODATKĄ do powyższych pomiarów:

Wzorzec dostępu	Dodatkowe zabezpieczenia
Ręczne przekazywanie dalej – użytkownik otwiera e-maila i przekazuje go do kolejnych odbiorców.	Takie przekierowanie zawsze narusza podpisy DKIM, a nadawca nie jest już zarejestrowany w usłudze. Działania opisane w e-mailu zostały odrzucone.
Automatyczne przekazywanie dalej do Gmaila – użytkownik tworzy regułę przekazywania na adres skrzynka pocztowa uż[e-mail] do swojej skrzynki pocztowej w Gmailu.	Gmail sprawdza, czy użytkownik może wysyłać pocztę jako uż[e-mail] (użytkownik ustawia to ręcznie). Działania zawarte w e-mailu są akceptowane.
Pobieranie przez POP z Gmaila – użytkownik podaje Gmailowi hasło dla adresu uż[e-mail], dzięki czemu Gmail pobiera wszystkie e-maile przez POP do skrzynki odbiorczej Gmaila.	Podpisy DKIM i integralność treści są zachowywane. Użytkownik potwierdził dostęp do adresu uż[e-mail]. Działania zawarte w e-mailu są akceptowane.
Uzyskiwanie dostępu do e-maili z Gmaila przy użyciu aplikacji innych firm – użytkownik Gmaila używa aplikacji innej firmy (np. Outlook lub Thunderbird), aby uzyskać dostęp do e-maili w Gmailu lub przekazuje swoje e-maile z Gmaila do innego dostawcy poczty e-mail.	Aplikacja lub usługa innej firmy może używać osadzonych informacji. Jednak w ten sposób nie będzie można wygenerować tokenów uwierzytelniania okaziciela zgodnych z kodami Google, co da nadawcom możliwość odrzucenia takich żądań działań. Nadawcy mogą wybrać, czy odrzucić, czy zaakceptować działania bez tokenów okaziciela, w zależności od wrażliwości danego działania. Pamiętaj, że token autoryzacji okaziciela jest tworzony przy użyciu standardowych technologii typu open source, co umożliwia wszystkim dostawcom poczty i aplikacjom tworzenie ich za pomocą własnych kluczy.