अगर आप कुछ गिने-चुने से ज़्यादा मार्केटिंग या ट्रांज़ैक्शनल ईमेल भेजते हैं, तो आपको लगभग निश्चित रूप से DMARC की ज़रूरत है, और कई प्रेषकों के लिए यह एक सख़्त अनिवार्यता है। जो भी उनके उपयोगकर्ताओं को रोज़ 5,000 से ज़्यादा संदेश भेजता है, उससे Google और Yahoo एक DMARC रिकॉर्ड की माँग करते हैं। इस नियम के अलावा, DMARC ही एकमात्र मानक है जो उस डोमेन को स्पूफ़ होने से बचाता है जिसे आपके प्राप्तकर्ता वास्तव में देखते हैं।
DMARC किसके लिए अनिवार्य है?
सबसे स्पष्ट सीमा Google और Yahoo के बल्क प्रेषक नियम तय करते हैं। अगर आप Gmail या Yahoo पतों पर रोज़ 5,000 से ज़्यादा संदेश भेजते हैं, तो आपको ये करना होगा:
- SPF और DKIM दोनों से प्रमाणीकरण करें।
- एक DMARC रिकॉर्ड प्रकाशित करें (
p=noneनीति बुनियादी अनिवार्यता पूरी करती है)। - स्पैम शिकायत दरें कम रखें और एक-क्लिक अनसब्सक्राइब का पालन करें।
रोज़ 5,000 की यह सीमा ख़ास तौर पर Gmail और Yahoo प्राप्तकर्ताओं के आधार पर मापी जाती है, और कई प्रेषक बिना जाने इसे पार कर लेते हैं, ख़ासकर कैंपेन के दौरान। अगर आपके इस सीमा के क़रीब होने की ज़रा भी संभावना है, तो DMARC को वैकल्पिक नहीं, अनिवार्य मानें। Google और Yahoo की अनिवार्यताओं पर हमारा विवरण पूरी चेकलिस्ट को विस्तार से बताता है।
अगर मैं इससे कम भेजता हूँ तो?
आपके लिए DMARC प्रकाशित करना अनिवार्य नहीं है, फिर भी दो कारणों से यह फ़ायदेमंद है।
पहला कारण सुरक्षा है। ग्राहक जिस भी डोमेन को पहचानते हैं, वह स्पूफिंग का निशाना बन सकता है, और इसका भेजे गए ईमेल की संख्या से कोई संबंध नहीं है। किसी छोटी कंपनी का डोमेन भी फ़िशिंग अभियान में उतनी ही आसानी से नकली बनाया जा सकता है जितना किसी बड़ी कंपनी का। कभी-कभी यह और भी आसान होता है, क्योंकि रिपोर्ट पर कोई नज़र नहीं रख रहा होता। DMARC से आप इसे रोक सकते हैं।
दूसरा कारण दृश्यता है। मॉनिटर मोड में भी DMARC रिपोर्ट आपको वे सभी सेवाएँ दिखाती हैं जो आपके नाम से मेल भेज रही हैं। रिपोर्टिंग का लाभ अक्सर कम आँका जाता है। सीमा पार हो या नहीं, ज़्यादातर टीमें रिपोर्ट देखने के पहले ही हफ़्ते में कोई भूला हुआ टूल या गलत कॉन्फ़िगर किया गया सेंडर ढूँढ लेती हैं।
मॉनिटर मोड से आगे किसे बढ़ना चाहिए?
"do I have a record at all." के बाद यही अंतर मायने रखता है। p=none प्रकाशित करने से अनुपालन की शर्त पूरी होती है और आपको रिपोर्ट मिलती हैं, लेकिन इससे एक भी स्पूफ़ किया गया संदेश नहीं रुकता। लोगों को असल में प्रवर्तन (p=quarantine या p=reject) ही सुरक्षित रखता है।
अगर इनमें से कोई भी बात आप पर लागू होती है, तो आपको धीरे-धीरे प्रवर्तन तक पहुँचना चाहिए:
- आप ऐसे ट्रांज़ैक्शनल मेल भेजते हैं जिन पर ग्राहक कार्रवाई करते हैं, जैसे रसीदें, पासवर्ड रीसेट और खाता अलर्ट। फ़िशिंग करने वाले इन्हीं संदेशों की नकल सबसे ज़्यादा करते हैं।
- आप ऐसे उद्योग में हैं जहाँ भरोसा बहुत अहम है, जैसे वित्त, स्वास्थ्य सेवा या ई-कॉमर्स।
- आपका ब्रांड इतना जाना-पहचाना है कि कोई उसका रूप धरने की कोशिश कर सकता है।
- आप पहले ही अपने डोमेन से स्पूफिंग या फ़िशिंग होते देख चुके हैं।
अगर आपका डोमेन कम मात्रा वाला आंतरिक डोमेन है जिससे लगभग कुछ नहीं भेजा जाता, तो मॉनिटर मोड में बने रहना उचित हो सकता है। लेकिन ज़्यादातर वास्तविक सेंडर के लिए p=none सिर्फ़ शुरुआत है, और लक्ष्य reject है। DMARC नीति क्या है में बताया गया है कि वहाँ तक सुरक्षित रूप से कैसे पहुँचें।
इसमें असल में कितना काम लगता है?
उम्मीद से कम, खासकर अगर SPF और DKIM पहले से लागू हैं। DMARC खुद एक DNS रिकॉर्ड है, और आप मॉनिटर मोड से शुरू करते हैं, जिसमें कुछ भी नहीं टूटता। रोलआउट के दौरान आपको रिपोर्ट पढ़नी होती हैं, और प्रवर्तन शुरू होने के बाद कभी-कभार जाँच करनी होती है। DMARC कैसे सेट अप करें में चरण-दर-चरण निर्देश हैं, और अगर आप अभी बुनियादी बातें समझ रहे हैं तो DMARC क्या है में अवधारणा समझाई गई है।
अगर आप Bird के ज़रिए भेजते हैं, तो DKIM और SPF का अलाइनमेंट आपके भेजने वाले डोमेन के रिकॉर्ड से आता है। इसलिए ज़्यादातर काम DMARC रिकॉर्ड जोड़ने और लौटकर आने वाली रिपोर्ट देखने का है। आपके डोमेन से जुड़ी बारीकियाँ ऑथेंटिकेशन गाइड में दी गई हैं।
तो क्या आपको DMARC की ज़रूरत है? अगर आप बड़े प्रदाताओं को बल्क मेल भेजते हैं, तो यह अनिवार्य है। अगर आप ऐसा कुछ भी भेजते हैं जिसकी नकल कोई धोखेबाज़ करना चाहेगा, तो इसे ठीक से लागू करना फ़ायदेमंद है। इसे बिना जोखिम के छोड़ सकने वाले भेजने वाले सिर्फ़ वे हैं जिनकी जालसाज़ी करने की कोई कोशिश ही नहीं करेगा, और ऐसे भेजने वालों का समूह जितना लगता है उससे छोटा है।