Você está aqui:
Configurar DNS auto-hospedado para domínios personalizados roteados por meio de um proxy
Domínios personalizados hospedados pelo Marketing Cloud Engagement são roteados diretamente para servidores do Engagement por padrão e o Salesforce gerencia a segurança desses domínios. Se sua política de segurança exigir um firewall de aplicativo da Web (WAF) ou proxy para todos os seus domínios, auto-hospede DNS e aponte o proxy para o Ponto de extremidade específico do domínio (DSE) para que o Salesforce possa provisionar e renovar certificados SSL para o domínio.
Para auto-hosting de DNS, consulte Manutenção de registro de DNS para seu domínio personalizado do Marketing Cloud Engagement e envio de email. Para delegar DNS, consulte Delegação de subdomínio personalizado.
Se sua política de segurança não permitir ignorar seu WAF ou se precisar usar um proxy por outros motivos, entenda estas restrições:
- DNS não pode ser delegado ao Salesforce, portanto, você deve hospedar o DNS automaticamente.
- Há duas conexões separadas para gerenciar para conectividade e segurança de ponta a ponta:
- A conexão de cliente para proxy: De um cliente ou navegador para seu proxy
- A conexão proxy-to-origin: De seu proxy para o servidor de engajamento
- O proxy deve ser roteado para o DSE para que a conexão de proxy para origem possa ser protegida e seu certificado SSL possa ser renovado. A configuração de proxy ainda pode fazer com que a instalação e a renovação de certificado SSL baseada em UI falhem.
- Quando você usa um certificado SSL fornecido pela Salesforce para a conexão de proxy para origem, o proxy não deve impedir que as autoridades de certificação (CA) do DigiCert ou do Gerenciador de certificados da Amazon realizem a Validação de controle de domínio (DCV) baseada em token usando o compartilhamento de arquivos de engajamento.
- Ordem das operações: O proxy não deve exigir que a conexão de proxy para origem seja protegida antes que a conexão de cliente para proxy seja protegida e o tráfego seja roteado de ponta a ponta. Essa ordem permite que o Salesforce verifique automaticamente se o tráfego chega ao servidor de engajamento e proteja a conexão de proxy para origem quando o domínio personalizado é configurado pela primeira vez ou protegido posteriormente na IU de engajamento. Primeiro, proteja a conexão entre clientes com um certificado SSL no proxy e garanta que o tráfego seja roteado para o servidor de engajamento.
-
Para conectividade de ponta a ponta, configure o proxy para apontar para o DSE na conexão de proxy para origem.
- Em Configuração, na caixa Busca rápida, insira ssl e selecione Certificados SSL de domínio.
- Para localizar o DSE do seu domínio, no menu suspenso de ações na linha do seu domínio, selecione Visualizar configurações de DNS auto-hospedadas.
-
Aponte o registro CNAME para o Ponto de extremidade específico do domínio (DSE) para seu domínio personalizado.
Embora um registro A configurado corretamente não relate um erro de status DNS, recomendamos enfaticamente usar um registro CNAME que aponte para o DSE. O roteamento para o DSE em vez do endereço IP do servidor de engajamento ajuda a garantir o provisionamento e as renovações de certificados SSL confiáveis para segurança de ponta a ponta, junto com a conectividade de ponta a ponta. O Salesforce então pode atualizar o servidor de hospedagem sem exigir uma alteração no DNS.
-
Para segurança completa, instale um certificado SSL no proxy. Para proteger a conexão entre clientes e exibir HTTPS nos navegadores e clientes dos clientes quando eles alcançarem seu domínio personalizado, na linha do domínio, selecione Secure This Domain para instalar .
- Para proteger a conexão entre clientes e exibir HTTPS nos navegadores e clientes dos clientes ao alcançar seu domínio personalizado, instale um certificado SSL no proxy.
-
Para proteger seu domínio personalizado, no menu suspenso de ações na linha do seu domínio, selecione Secure This Domain
Certifique-se de que o proxy tente HTTPS na conexão proxy-to-origin.
O servidor de engajamento verifica periodicamente a conectividade e a segurança de ponta a ponta a cada sete dias e os informa pelo status DNS e pelo status SSL, respectivamente, na página de resumo de Certificados SSL do domínio. A sonda de segurança completa verifica se há certificados SSL válidos tanto no proxy quanto no servidor de engajamento. O status de DNS mostra um erro quando:
- Não foi encontrado um registro CNAME correto.
- Um registro CNAME é encontrado, mas seu valor não corresponde ao DSE.
- Um registro A válido não foi encontrado.
- Um registro A válido é encontrado, mas seu valor não corresponde ao endereço IP do servidor que pertence ao domínio.
