Ein Testpostfach ermöglicht es einem Sicherheitsteam, einen Registrierungs‑ oder Wiederherstellungsablauf zu beobachten. Es sollte als Teil der Testumgebung behandelt werden, mit einem Besitzer und einer vereinbarten Grenze, anstatt als uneingeschränkter Zielort für Produktionsgeheimnisse.
Den Umfang vor dem Testen festlegen
- Identifizieren Sie die Anwendung und die Umgebung, die Sie autorisiert testen dürfen.
- Verwenden Sie synthetische Konten und legen Sie ein Anforderungslimit mit dem Systembesitzer fest.
- Wählen Sie ein Postfach, dessen Zugriffskontrollen der Sensitivität der Nachrichten entsprechen.
- Legen Sie eine Aufräumzeit fest und bestimmen Sie, wer die Beweise einsehen darf.
Grenzen testen, nicht nur erfolgreiche Zustellung
Für eine von Ihnen kontrollierte Anwendung überprüfen Sie, dass ein Bestätigungslink an das beabsichtigte Konto gebunden ist, nach Abschluss nicht wiederverwendet werden kann und nach Ablauf ein verständliches Ergebnis liefert. Prüfen Sie das Verhalten, wenn ein zweiter Bestätigungsantrag gestellt wird. Dokumentieren Sie das erwartete Verhalten, bevor Sie entscheiden, dass ein Unterschied eine Schwachstelle darstellt.
Geheimnisse aus Berichten entfernen
Ein Screenshot, der eine aktive Zurücksetzungs‑URL enthält, kann den Zugriff genauso effektiv gewähren wie die ursprüngliche E‑Mail. Redigieren Sie Codes, Tokens, Cookies und persönliche Adressen. Bewahren Sie Zeitstempel, Test‑Kennungen und eine Beschreibung des beobachteten Zustands auf, anstatt vollständige Produktionsnachrichten in Issue‑Tracker zu kopieren.
Den Test abschließen
Entfernen Sie die synthetischen Anwendungs‑Konten, wo es angemessen ist, ungültig gemachte Test‑Links und wenden Sie die vereinbarte Aufbewahrungsrichtlinie auf Postfach‑Artefakte an. Dokumentieren Sie etwaige ungelöste Zustellungsfehler getrennt von einem Autorisierungsfehler: Das Nicht‑Empfangen einer Nachricht beweist nicht, dass eine Kontrollebene sicher ist.
Bei Produktionsvorfällen mit echten Kunden verwenden Sie den von der Organisation genehmigten Prozess zur Beweiserfassung statt eines öffentlichen Einweg‑Postfachs.