Aktionen sichern

Auf dieser Seite wird beschrieben, wie Gmail die Zustellung und Ausführung von Aktionen sichert.

Von Google durchgesetzte Sicherheitsmaßnahmen

Für in E-Mails eingebettete Schemas müssen die folgenden Bedingungen erfüllt sein:

• Registrierung: Der Absender muss sich bei Google registrieren.
• SPF oder DKIM: E-Mails mit Schema-Markup müssen von Domains mit SPF oder DKIM zugestellt werden.

Zusätzliche erforderliche Maßnahmen für Inline-Aktionen

Für die Absicherung von Inline-Aktionen sind zusätzliche Sicherheitsmaßnahmen erforderlich oder werden empfohlen:

• HTTPS: Alle Aktionen müssen über HTTPS-URLs ausgeführt werden. Auf den Hosts müssen gültige SSL-Serverzertifikate installiert sein.
• Zugriffstokens: Wir empfehlen, dass Absendern, die Aktionen ausführen, Zugriffstokens mit begrenzter Verwendung in die Aktions-URLs einbetten, um sich vor Replay-Angriffen zu schützen. Dies ist allgemein eine gute Praxis für alle URLs, die in Webseiten oder E-Mails eingebettet sind und bei deren Aufruf Nebenwirkungen auftreten können.
• Inhaberautorisierung: Es wird empfohlen, dass Dienste, die Aktionsanfragen verarbeiten, den HTTP-Header „Authorization“ in der HTTPS-Anfrage prüfen. Dieser Header enthält den String „Inhabertoken“, der beweist, dass die Quelle der Anfrage google.com ist und dass die Anfrage für den angegebenen Dienst bestimmt ist. Die Dienste müssen die von Google bereitgestellte Open-Source-Bibliothek zur Bestätigung des Inhabertokens verwenden.

Hinweis: Inhabertokens in Autorisierungsheadern werden nicht standardmäßig gesendet. Wenn das Senden eines Inhabertokens erforderlich ist, fordern Sie es bei der Registrierung bei Google an.

E-Mail-Zugriffsmuster für Edge-Fälle sichern

Es gibt verschiedene Varianten von E-Mail-Weiterleitungs- und Zugriffsmustern, die in Gmail verarbeitet werden, um Aktionen in E-Mails zu sichern. Die folgenden Messungen werden ZUSÄTZLICH zu den oben genannten Messungen durchgeführt:

Zugriffsmuster	Zusätzliche Sicherheitsmaßnahmen
Manuelle Weiterleitung: Der Nutzer öffnet eine E-Mail und leitet sie an weitere Empfänger weiter.	Eine solche Weiterleitung führt immer zu Fehlern bei DKIM-Signaturen und der Absender ist nicht mehr beim Dienst registriert. Aktionen in der E-Mail werden abgelehnt.
Automatische Weiterleitung an Gmail – Der Nutzer erstellt eine Weiterleitungsregel für das Postfach [e-mail] in seinem Gmail-Postfach.	Gmail überprüft, ob der Nutzer Nachrichten als [e-mail] senden kann. Der Nutzer richtet dies manuell ein. Aktionen in der E-Mail werden akzeptiert.
POP-Abruf in Gmail: Der Nutzer gibt Gmail das Passwort für [e-mail] und Gmail ruft alle E-Mails dort per POP an den Gmail-Posteingang ab.	DKIM-Signaturen und Inhaltsintegrität bleiben erhalten. Der Nutzer hat nachweislich Zugriff auf [e-mail]. Die Aktionen in der E-Mail werden akzeptiert.
Zugriff auf Gmail-E-Mails über Anwendungen von Drittanbietern: Gmail-Nutzer verwenden eine Drittanbieteranwendung wie Outlook oder Thunderbird, um auf Gmail-E-Mails zuzugreifen, oder leitet ihre Gmail-E-Mails an einen anderen E-Mail-Anbieter weiter.	Anwendungen oder Dienste von Drittanbietern können eingebettete Informationen verwenden. Es können jedoch keine Inhaberauthentifizierungstokens erstellt werden, die mit denen von Google übereinstimmen. So haben die Absender die Möglichkeit, solche Aktionsanfragen abzulehnen. Sender können je nach Vertraulichkeit der Aktion entscheiden, ob sie Aktionen ohne Inhabertokens ablehnen oder akzeptieren. Beachten Sie, dass das Inhaberautorisierungstoken mithilfe von standardmäßigen Open-Source-Technologien erstellt wird. Dadurch können alle E-Mail-Anbieter und Anwendungen sie mit ihren eigenen Schlüsseln generieren.