Mengamankan Tindakan

Halaman ini mendokumentasikan cara Gmail mengamankan pengiriman dan eksekusi tindakan.

Prosedur Keamanan yang diberlakukan oleh Google

Ketentuan berikut harus berlaku untuk skema yang disematkan dalam email:

Tindakan Tambahan yang Diperlukan untuk Tindakan In-Line

Langkah keamanan tambahan diperlukan atau dianjurkan untuk mengamankan tindakan inline:

  • HTTPS: Semua tindakan harus ditangani melalui URL HTTPS. Host harus menginstal sertifikat server SSL yang valid.
  • Token Akses: Sebaiknya pengirim yang menggunakan tindakan menyematkan Token Akses Terbatas di URL tindakan, untuk melindungi diri dari Serangan Ulang. Praktik ini umumnya baik untuk setiap URL yang disematkan di halaman web atau email yang mungkin memiliki efek samping saat dipanggil.
  • Otorisasi Pembawa: Disarankan bahwa layanan yang menangani permintaan tindakan memverifikasi "Otorisasi" HTTP di permintaan HTTPS. {i>Header<i} tersebut akan berisi "Bearer Token" string, yang membuktikan bahwa sumber permintaan adalah google.com, dan bahwa permintaan tersebut ditujukan untuk layanan tertentu. Layanan harus menggunakan library open source yang disediakan Google untuk Memverifikasi Token Pemilik.

Mengamankan Pola Akses Email Kasus Edge

Ada berbagai varian penerusan email dan pola akses yang ditangani Gmail untuk mengamankan tindakan dalam email. Pengukuran berikut dilakukan SAMPAI tindakan di atas:

Pola Akses Langkah Keamanan Tambahan
Penerusan Manual - Pengguna membuka email dan meneruskannya ke lebih banyak penerima Penerusan tersebut selalu merusak tanda tangan DKIM, dan pengirim tidak lagi terdaftar di layanan. Tindakan dalam email akan ditolak.
Penerusan Otomatis ke Gmail - Pengguna membuat aturan penerusan di kotak surat user@acme.com ke kotak surat Gmail miliknya. Gmail memverifikasi bahwa pengguna dapat mengirim email sebagai user@acme.com (pengguna menyiapkannya secara manual). Tindakan dalam email diterima.
Pengambilan POP Gmail - Pengguna memberi Gmail sandi untuk user@acme.com dan pengambil Gmail di sana melalui POP ke kotak masuk Gmail. Tanda tangan DKIM dan integritas konten dipertahankan. Pengguna telah terbukti memiliki akses ke user@acme.com. Tindakan dalam email diterima.
Mengakses email Gmail dengan aplikasi pihak ketiga - Pengguna Gmail menggunakan aplikasi pihak ketiga (misalnya Outlook atau Thunderbird) untuk mengakses email Gmail, atau meneruskan email Gmail-nya ke penyedia email lain. Aplikasi atau layanan pihak ketiga dapat menggunakan informasi yang disematkan. Namun, autentikasi berbasis akun tidak dapat menghasilkan token autentikasi pemilik yang cocok dengan milik Google, sehingga pengirim memiliki kesempatan untuk menolak permintaan tindakan tersebut. Pengirim dapat memilih untuk menolak atau menerima tindakan tanpa token pembawa, bergantung pada sensitivitas tindakan. Perhatikan bahwa token otorisasi pemilik dibuat menggunakan teknologi open source standar sehingga semua penyedia dan aplikasi email dapat memproduksinya menggunakan kuncinya sendiri.