向第三方授予您網域的電子郵件存取權限時應考慮哪些最佳實踐

Question

我們公司希望與需要發送和接收電子郵件的外包第三方提供者合作。我們希望這些電子郵件來自我們的網域（或子網域），以幫助客戶信任電子郵件的合法性，並減少他們認為這是網路釣魚或垃圾郵件的機會。我們也相信它有助於改善互動的品牌感。第二個目標是我們希望第三方管理品牌和模板，例如電子郵件的標準法律頁腳。

我們已經使用Mandrill（僅限出站）和Intercom（入站和出站）等SAAS 提供者，他們能夠代表我們的網域發送電子郵件，方法是我們驗證所有權，然後修改我們的DNS 記錄，以確保SPF和DKIM 等內容應用為根據我們的 DMARC 政策。然後，我們有一個 GSuite GMail 應用程式路由規則，它將傳入的郵件轉送到 Intercom。

在這種情況下，第三方建議我們讓他們透過使用者帳戶直接存取我們的 GSuite，或讓他們透過我們的郵件伺服器（對我們來說是Google的郵件伺服器）路由電子郵件。我認為這是不可取的，原因如下：

1. SSO（使用Google登入），這可能會允許存取我們認為內部的系統。
2. 他們不是內部員工，帳戶的存在意味著我們需要為使用者帳戶付費，並且他們將自動添加到我們的 all@ 電子郵件群組中。我們還必須小心禁用驅動器和日曆等應用程序，因為我們想要的只是電子郵件。
3. 只是我們不必透過我們的 SAAS 提供者來管理這種複雜性，而我們的 SAAS 提供者已經實現了相同的目標。

如果相關，第三方已通知我們他們目前使用 OWA，並且互動是手動的（例如人工輸入電子郵件）。可能會有一些彈性讓他們不使用 OWA。

我的問題是這裡是否有可以考慮的最佳實踐或任何常用的路徑來實現這一目標？如果有 SAAS 類型的產品可以幫助解決這個問題，那就太好了（我考慮過 Intercom，但除此之外還有更多功能，這反映在價格上）。

Answer 1

您給出的反對讓他們訪問您的 GSuite 的這些理由對我來說聽起來很有說服力。如果我是您，我會讓他們設定自己的郵件伺服器，該伺服器配置為使用您的郵件伺服器之一作為出站中繼。我將進一步設定一個私人 IPSec VPN，並限制對 IPSec VPN 私人 IP 域內的該 IP 的中繼存取。請隨意新增 TLS 用戶端身份驗證以提高該連結的安全性。這有一些優點：

• 您可以自行新增 DKIM 簽章以及任何您想要對這些電子郵件執行進一步操作的內容
• 您可以為這些第三方無法控制的外寄郵件新增過濾器，以便您可以控制以您的品牌/公司名義所做的事情

希望能幫助你！