Aktionen sichern

Auf dieser Seite wird beschrieben, wie Gmail die Zustellung und Ausführung von Aktionen sichert.

Von Google erzwungene Sicherheitsmaßnahmen

Die folgenden Bedingungen müssen für in E-Mails eingebettete Schemas gelten:

• Registrierung: Der Absender muss sich bei Google registrieren.
• SPF oder DKIM: E-Mails mit Schema-Markup müssen von SPF- oder DKIM-authentifizierten Domains kommen.

Zusätzliche Maßnahmen erforderlich für Inline-Aktionen

Für den Schutz von Inline-Aktionen sind zusätzliche Sicherheitsmaßnahmen erforderlich oder werden empfohlen:

• HTTPS: Alle Aktionen müssen über HTTPS-URLs ausgeführt werden. Auf den Hosts müssen gültige SSL-Serverzertifikate installiert sein.
• Zugriffstokens: Absender, die Aktionen verwenden, empfehlen, Zugriffstokens mit begrenzter Verwendung in die Aktions-URLs einzubetten, um sich vor Replay-Angriffen zu schützen. Diese Vorgehensweise empfiehlt sich im Allgemeinen für URLs, die in Webseiten oder E-Mails eingebettet sind und bei deren Aufruf Auswirkungen auf andere Seiten haben könnten.
• Bearer Authorization (Inhaberautorisierung): Wir empfehlen, dass Dienste, die Aktionsanfragen verarbeiten, den HTTP-Header „Authorization“ in der HTTPS-Anfrage prüfen. Dieser Header enthält einen "Bearer Token"-String, der besagt, dass die Quelle der Anfrage google.com ist und dass die Anfrage für den angegebenen Dienst bestimmt ist. Dienste sollten zur Bestätigung des Inhabertokens die von Google bereitgestellte Open-Source-Bibliothek verwenden.

Hinweis: Inhabertokens in Autorisierungsheadern werden nicht standardmäßig gesendet. Wenn ein Inhabertoken gesendet werden muss, fordern Sie es bei der Registrierung bei Google an.

E-Mail-Zugriffsmuster sichern

Es gibt verschiedene Varianten von E-Mail-Weiterleitungs- und Zugriffsmustern, die Gmail verarbeitet, um Aktionen in E-Mails zu sichern. Die folgenden Messungen werden zusätzlich zu den oben genannten Messungen durchgeführt:

Zugriffsmuster	Zusätzliche Sicherheitsmaßnahmen
Manuelle Weiterleitung: Der Nutzer öffnet eine E-Mail und leitet sie an weitere Empfänger weiter.	Bei einer solchen Weiterleitung werden DKIM-Signaturen immer beschädigt und der Absender ist nicht mehr beim Dienst registriert. Aktionen in der E-Mail werden abgelehnt.
Automatische Weiterleitung an Gmail: Der Nutzer erstellt eine Weiterleitungsregel für das Postfach [e-mail] für sein Gmail-Postfach.	In Gmail wird überprüft, ob der Nutzer Nachrichten als [e-mail] senden kann. Dies wird vom Nutzer manuell eingerichtet. Aktionen in der E-Mail sind akzeptiert.
Gmail-POP-Abruf: Der Nutzer gibt Gmail das Passwort für [e-mail] und der Gmail-Abruf aller E-Mails dort per POP an den Gmail-Posteingang.	DKIM-Signaturen und die Integrität von Inhalten bleiben erhalten. Der Nutzer hat nachweislich Zugriff auf [e-mail]. Aktionen in der E-Mail werden akzeptiert.
Zugriff auf Gmail-E-Mails mit Anwendungen von Drittanbietern: Der Gmail-Nutzer verwendet eine Drittanbieteranwendung (z.B. Outlook oder Thunderbird), um auf Gmail-E-Mails zuzugreifen, oder leitet seine Gmail-E-Mails an einen anderen E-Mail-Anbieter weiter.	Anwendungen oder Dienste von Drittanbietern können eingebettete Informationen verwenden. Es können jedoch keine Inhaberauthentifizierungstokens erstellt werden, die mit denen von Google übereinstimmen, sodass Absender solche Aktionsanfragen ablehnen können. Der Absender kann je nach Vertraulichkeit der Aktion entscheiden, ob sie Aktionen ohne Inhabertoken ablehnen oder akzeptieren. Beachten Sie, dass das Inhaberautorisierungstoken mit standardmäßigen Open-Source-Technologien erstellt wird. So können alle E-Mail-Anbieter und Apps sie mit ihren eigenen Schlüsseln erstellen.