授予第三方访问您域名的电子邮件的权限时应考虑哪些最佳做法

Question

我们公司希望与需要发送和接收电子邮件的外包第三方提供商合作。我们希望这些电子邮件来自我们的域（或子域），以帮助客户信任电子邮件的合法性，并减少他们认为这是网络钓鱼或垃圾邮件的可能性。我们还相信它有助于改善互动的品牌感。第二个目标是，我们希望第三方管理电子邮件的品牌和模板，如标准合法页脚。

我们已经使用了 Mandrill（仅限出站）和 Intercom（入站和出站）等 SAAS 提供商，他们能够代表我们的域发送电子邮件，由我们验证所有权，然后修改我们的 DNS 记录以确保 SPF 和 DKIM 等内容按照我们的 DMARC 政策应用。然后，我们有一个 GSuite GMail 应用路由规则，可将传入邮件转发到 Intercom。

在这种情况下，第三方建议我们让他们通过用户帐户直接访问我们的 GSuite，或者让他们通过我们的邮件服务器（对我们来说是谷歌的邮件服务器）路由他们的电子邮件。我认为这是不可取的，原因如下：

1. SSO（使用谷歌登录），这可能允许访问我们认为内部的系统。
2. 他们不是内部员工，账户的存在意味着我们需要为用户账户付费，并且他们会自动添加到我们的 all@ 电子邮件组中。我们还必须小心禁用驱动器和日历等应用程序，因为我们只需要电子邮件。
3. 只是我们在与 SAAS 提供商合作时不需要处理复杂性，因为我们已经实现了同样的目标。

如果相关，第三方已告知我们他们目前使用 OWA，并且交互是手动的（例如人工输入电子邮件）。可能会有一些变通方法让他们不使用 OWA。

我的问题是，这里有没有最佳实践可以考虑，或者有没有实现这一目标的常用方法？如果有 SAAS 类型的产品可以帮助解决这个问题，那就更好了（我考虑过 Intercom，但它的功能还有很多，而且价格也反映出来了）。

Answer 1

您给出的这些反对他们访问您的 GSuite 的理由对我来说听起来很有说服力。如果我是您，我会让他们设置自己的邮件服务器，并将其配置为使用您的一个邮件服务器作为出站中继。我会进一步设置一个私有 IPSec VPN，并将中继访问限制在 IPSec VPN 的私有 IP 域内的一个 IP。请随意添加 TLS 客户端身份验证以提高该链接的安全性。这有一些好处：

• 您可以自行添加 DKIM 签名以及任何您想对这些电子邮件进行的操作
• 您可以为这些外发邮件添加第三方无法控制的过滤器，这样您就可以控制以您的品牌/公司名义所做的事情

希望能帮助到你！