Mengamankan Tindakan

Halaman ini mendokumentasikan cara Gmail mengamankan pengiriman dan eksekusi tindakan.

Langkah-langkah Keamanan yang diterapkan oleh Google

Kondisi berikut harus berlaku untuk skema yang disematkan dalam email:

• Pendaftaran: Pengirim harus Mendaftar dengan Google.
• SPF atau DKIM: Email dengan markup skema harus berasal dari domain yang diautentikasi SPF atau DKIM

Langkah Tambahan yang diperlukan untuk Tindakan Inline

Langkah keamanan tambahan diperlukan atau dianjurkan untuk mengamankan tindakan inline:

• HTTPS: Semua tindakan harus ditangani melalui URL HTTPS. Host harus menginstal sertifikat server SSL yang valid.
• Token Akses: Pengirim yang menggunakan tindakan dianjurkan untuk menyematkan Token Akses Penggunaan Terbatas di URL tindakan, untuk melindungi diri mereka dari Serangan Replay. Ini adalah praktik yang umumnya baik untuk URL apa pun yang disematkan di halaman web atau email yang mungkin memiliki efek samping saat dipanggil.
• Bearer Authorization: Sebaiknya dianjurkan agar layanan yang menangani permintaan tindakan memverifikasi header "Authorization" HTTP dalam permintaan HTTPS. Header tersebut akan berisi string "Bearer Token", yang membuktikan bahwa sumber permintaan adalah google.com, dan bahwa permintaan tersebut ditujukan untuk layanan yang ditentukan. Layanan harus menggunakan library open source yang disediakan Google untuk Memverifikasi Token Pembawa.

Catatan: Token pembawa di header otorisasi tidak dikirim secara default. Jika Anda memerlukan token bearer untuk dikirim, minta token tersebut saat mendaftar ke Google.

Mengamankan Pola Akses Email Kasus Khusus

Ada berbagai varian pola akses dan penerusan email yang ditangani Gmail untuk mengamankan tindakan dalam email. Pengukuran berikut dilakukan SEBAGAI TAMBAHAN terhadap pengukuran di atas:

Pola Akses	Tindakan Keamanan Tambahan
Penerusan Manual - Pengguna membuka email dan meneruskannya ke lebih banyak penerima	Penerusan tersebut selalu merusak tanda tangan DKIM, dan pengirim tidak lagi terdaftar di layanan. Tindakan dalam email ditolak.
Penerusan Otomatis ke Gmail - Pengguna membuat aturan penerusan di kotak surat [e-mail] ke kotak surat Gmail-nya.	Gmail memverifikasi bahwa pengguna dapat mengirim sebagai [e-mail] (pengguna menyiapkannya secara manual). Tindakan dalam email diterima.
Pengambilan POP Gmail - Pengguna memberikan sandi untuk [e-mail] kepada Gmail dan Gmail mengambil semua email di sana melalui POP ke kotak masuk Gmail.	Integritas konten dan tanda tangan DKIM dipertahankan. Pengguna telah membuktikan akses ke [e-mail]. Tindakan dalam email diterima.
Mengakses email Gmail dengan aplikasi pihak ketiga - Pengguna Gmail menggunakan aplikasi pihak ketiga (misalnya Outlook atau Thunderbird) untuk mengakses email Gmail, atau meneruskan email Gmail-nya ke penyedia email lain.	Aplikasi atau layanan pihak ketiga dapat menggunakan informasi tersemat. Namun, aplikasi tidak akan dapat menghasilkan token autentikasi pembawa yang cocok dengan token Google, sehingga pengirim dapat menolak permintaan tindakan tersebut. Pengirim dapat memilih apakah mereka menolak atau menerima tindakan tanpa token pembawa, bergantung pada sensitivitas tindakan. Perhatikan bahwa token otorisasi pembawa dibuat menggunakan teknologi open source standar sehingga memungkinkan semua penyedia dan aplikasi email untuk membuatnya menggunakan kunci mereka sendiri.