Vous êtes ici :
Configuration du DNS auto-hébergé pour les domaines personnalisés acheminés via un proxy
Les domaines personnalisés hébergés par Marketing Cloud Engagement acheminent directement vers les serveurs Engagement par défaut, et Salesforce gère la sécurité de ces domaines. Si votre stratégie de sécurité nécessite un proxy ou un pare-feu d'application Web (WAF) pour tous vos domaines, hébergez vous-même le DNS et pointez le proxy vers le point de terminaison spécifique au domaine (DSE) afin de permettre à Salesforce de provisionner et de renouveler les certificats SSL pour le domaine.
Pour auto-héberger le DNS, consultez DNS Record Maintenance for Your Marketing Cloud Engagement Custom Domain and Email Sending (Envoi d'e-mails et domaine personnalisé Marketing Cloud Engagement). Pour déléguer le DNS, consultez Délégation de sous-domaine personnalisé.
Si votre stratégie de sécurité ne permet pas de contourner votre WAF ou si vous devez utiliser un proxy pour d'autres raisons, tenez compte des contraintes suivantes :
- Le DNS ne peut pas être délégué à Salesforce. Par conséquent, vous devez héberger vous-même le DNS.
- Deux connexions distinctes sont à gérer pour la connectivité et la sécurité de bout en bout :
- La connexion client à proxy : Depuis un client ou un navigateur vers votre proxy
- La connexion proxy-to-origin : De votre proxy au serveur Engagement
- Le proxy doit acheminer vers le DSE afin de sécuriser la connexion proxy-to-origin et de renouveler son certificat SSL. La configuration du proxy peut entraîner l'échec de l'installation et du renouvellement du certificat SSL basé sur l'interface utilisateur.
- Lorsque vous utilisez un certificat SSL fourni par Salesforce pour la connexion proxy-to-origin, le proxy ne doit pas empêcher les autorités de certification DigiCert ou Amazon Certificate Manager (CA) d'effectuer la validation du contrôle de domaine (DCV) basée sur un jeton en utilisant le partage de fichiers Engagement.
- Ordre des opérations : Le proxy ne doit pas exiger que la connexion proxy-to-origin soit sécurisée avant que la connexion client-à-proxy soit sécurisée et que le trafic soit acheminé de bout en bout. Cet ordre permet à Salesforce de vérifier automatiquement que le trafic atteint le serveur Engagement et de sécuriser la connexion proxy-to-origin lors de la configuration initiale ou ultérieure du domaine personnalisé dans l'interface utilisateur d'Engagement. Commencez par sécuriser la connexion client à proxy avec un certificat SSL sur le proxy et assurez-vous que le trafic est acheminé vers le serveur Engagement.
-
Pour la connectivité de bout en bout, configurez le proxy pour pointer vers le DSE dans la connexion proxy-to-origin.
- Dans Configuration, saisissez ssl dans la case Recherche rapide, puis sélectionnez Certificats SSL de domaine.
- Pour rechercher le DSE de votre domaine, dans le menu déroulant d'actions de la ligne de votre domaine, sélectionnez Afficher les paramètres DNS auto-hébergés.
-
Pointez l'enregistrement CNAME vers le Point de terminaison spécifique au domaine (DSE) de votre domaine personnalisé.
Même si un enregistrement A correctement configuré ne signale pas d'erreur de statut DNS, nous recommandons vivement d'utiliser à la place un enregistrement CNAME qui pointe vers le DSE. L'acheminement vers le DSE au lieu de l'adresse IP du serveur Engagement permet de garantir un provisionnement et des renouvellements de certificat SSL fiables pour la sécurité de bout en bout, ainsi qu'une connectivité de bout en bout. Salesforce peut ensuite mettre à jour le serveur d'hébergement sans modifier votre DNS.
-
Pour plus de sécurité, installez un certificat SSL sur le proxy. Pour sécuriser la connexion client à proxy et afficher HTTPS sur les clients et les navigateurs de vos clients lorsqu'ils atteignent votre domaine personnalisé, sur la ligne du domaine, sélectionnez Secure This Domain pour l'installation.
- Pour sécuriser la connexion client à proxy et afficher HTTPS dans les clients et les navigateurs de vos clients en accédant à votre domaine personnalisé, installez un certificat SSL sur le proxy .
-
Pour sécuriser votre domaine personnalisé, dans le menu déroulant d'actions de la ligne de votre domaine, sélectionnez Sécuriser ce domaine
Assurez-vous que le proxy tente HTTPS dans la connexion proxy-to-origin.
Le serveur Engagement vérifie périodiquement la connectivité et la sécurité de bout en bout tous les 7 jours et les signale respectivement par le statut DNS et le statut SSL dans la page de résumé Certificats SSL de domaine. La sonde de sécurité de bout en bout vérifie l'existence de certificats SSL valides sur le proxy et le serveur Engagement. Le statut DNS affiche une erreur lorsque :
- Aucun enregistrement CNAME correct n'est trouvé.
- Un enregistrement CNAME est trouvé, mais sa valeur ne correspond pas au DSE.
- Un enregistrement A valide est introuvable.
- Un enregistrement A valide est trouvé, mais sa valeur ne correspond pas à l'adresse IP du serveur qui appartient au domaine.
