DMARC, SPF और DKIM के ऊपर दो चीज़ें जोड़कर काम करता है: एक अलाइनमेंट जाँच, जो ऑथेंटिकेशन को उस डोमेन से जोड़ती है जिसे आपके प्राप्तकर्ता वास्तव में देखते हैं, और एक रिपोर्टिंग लूप, जो आपको बताता है कि क्या हो रहा है। जब किसी प्राप्तकर्ता सर्वर को ऐसा संदेश मिलता है जो आपके डोमेन से होने का दावा करता है, तो वह उसके साथ क्या करना है यह तय करने के लिए चरणों का एक छोटा, स्पष्ट क्रम चलाता है।
जब किसी प्राप्तकर्ता को आपका ईमेल मिलता है, तो क्या होता है?
मेलबॉक्स प्रदाता शुरू से अंत तक यह क्रम चलाता है:
- From डोमेन पढ़ना। सर्वर दिखाई देने वाले From पते से डोमेन निकालता है (इसका तकनीकी नाम RFC5322.From है)। DMARC इसी पहचान की रक्षा करता है, क्योंकि आपका प्राप्तकर्ता यही पहचान देखता है।
- आपका DMARC रिकॉर्ड खोजना। सर्वर आपकी प्रकाशित नीति और रिपोर्टिंग पते खोजने के लिए DNS में
_dmarc.yourdomain.comके लिए क्वेरी करता है। रिकॉर्ड न होने पर DMARC का मूल्यांकन नहीं होता। - SPF की जाँच। सर्वर पुष्टि करता है कि संदेश ऐसे सर्वर से आया है जिसे आपका SPF रिकॉर्ड अधिकृत करता है, और नोट करता है कि SPF ने किस डोमेन को ऑथेंटिकेट किया।
- DKIM की जाँच। सर्वर DKIM हस्ताक्षर को सत्यापित करता है और हस्ताक्षर करने वाले डोमेन को नोट करता है।
- अलाइनमेंट परखना। सर्वर SPF और DKIM के डोमेन की तुलना From डोमेन से करता है। यही चरण DMARC को उसके अलग-अलग हिस्सों के जोड़ से ज़्यादा उपयोगी बनाता है।
- आपकी नीति लागू करना। अगर संदेश पास हुआ (दोनों में से कोई एक रास्ता अलाइन हुआ), तो वह सामान्य रूप से डिलीवर होता है। अगर वह फ़ेल हुआ, तो प्राप्तकर्ता आपके
p=निर्देश का पालन करता है: मॉनिटर मोड में कुछ नहीं, क्वारंटीन या अस्वीकार। - रिपोर्टिंग के लिए दर्ज करना। नतीजा उस एग्रीगेट रिपोर्ट में जुड़ जाता है जो बाद में आपके मेलबॉक्स में पहुँचती है।
अलाइनमेंट क्या है, और यह क्यों मायने रखता है?
अलाइनमेंट DMARC का मूल हिस्सा है। SPF और DKIM दोनों एक डोमेन को प्रमाणित करते हैं, लेकिन ज़रूरी नहीं कि वह वही डोमेन हो जो आपका प्राप्तकर्ता देखता है। SPF Return-Path (बाउंस पता) की जाँच करता है, और DKIM उस डोमेन की जाँच करता है जिसने संदेश पर हस्ताक्षर किया है। कोई स्पैमर अपने नियंत्रण वाले डोमेन के लिए दोनों जाँचें पास कर सकता है, और फिर भी From लाइन में आपका ब्रांड दिखा सकता है।
DMARC इस कमी को दूर करता है: प्रमाणित डोमेन का आपके From डोमेन से मेल खाना ज़रूरी है। SPF अलाइनमेंट का मतलब है कि Return-Path डोमेन From डोमेन से मेल खाता है। DKIM अलाइनमेंट का मतलब है कि हस्ताक्षर करने वाला डोमेन From डोमेन से मेल खाता है। यह मिलान relaxed हो सकता है (संगठनात्मक डोमेन एक ही हो, इसलिए mail.example.com का example.com से अलाइनमेंट होता है) या strict (बिल्कुल सटीक मिलान)। डिफ़ॉल्ट relaxed है।
कितनी जाँचों का पास होना ज़रूरी है?
सिर्फ़ एक रास्ते का। कोई संदेश DMARC तब पास करता है जब या तो SPF पास हो और अलाइन हो, या DKIM पास हो और अलाइन हो। दोनों की ज़रूरत नहीं है। यह नियम जानबूझकर उदार रखा गया है, क्योंकि मेल इंटरनेट पर उलझे रास्तों से गुज़रता है और अक्सर एक तरीका काम करता रहता है जबकि दूसरा टूट जाता है।
| रास्ता | तुलना किए जाने वाले डोमेन | DMARC कब पास होता है |
|---|---|---|
| SPF | Return-Path और From | SPF पास हो और डोमेन अलाइन हों |
| DKIM | साइनिंग डोमेन और From | DKIM पास हो और डोमेन संरेखित हों |
| कोई भी एक | ऊपर के दोनों | कम से कम एक पास हो और संरेखित हो |
DKIM संरेखण पर भरोसा करना बेहतर है, क्योंकि यह आम तौर पर फ़ॉरवर्डिंग के बाद भी बना रहता है, जबकि SPF नहीं। इसी कारण फ़ॉरवर्डिंग रिपोर्ट में भ्रमित करने वाले डेटा का एक आम स्रोत है, जिसके बारे में DMARC विफलताओं को कैसे ठीक करें में बताया गया है।
विफल संदेश के साथ प्राप्तकर्ता सर्वर क्या करता है?
वही जो आपकी नीति कहती है, उचित सीमा के भीतर। आपका p= मान एक अनुरोध है, और अधिकांश बड़े प्रदाता इसका पालन करते हैं:
p=none: कुछ अलग न करें, केवल रिपोर्ट करें। यह मॉनिटर मोड है।p=quarantine: विफल मेल को संदिग्ध मानें, आम तौर पर उसे स्पैम फ़ोल्डर में भेजें।p=reject: संदेश को सीधे अस्वीकार करें।
आप समय के साथ अपनी नीति को धीरे-धीरे सख्त कर सकते हैं, और इसकी पूरी जानकारी DMARC नीति क्या है में है। इस चक्र का रिपोर्टिंग वाला हिस्सा इस बदलाव को सुरक्षित बनाता है, क्योंकि सख्त करने से पहले आप ठीक-ठीक देख लेते हैं कि कौन पास हो रहा है और कौन फेल। इन रिपोर्टों को समझने का तरीका DMARC रिपोर्ट कैसे पढ़ें में बताया गया है।
अब आपको क्या करना है?
DMARC इसलिए काम करता है क्योंकि यह उसी पहचान की जाँच करता है जो मायने रखती है, यानी दिखने वाला डोमेन, और दोनों में से किसी भी प्रमाणीकरण पथ से संदेश को पास होने देता है। एक रिकॉर्ड प्रकाशित करें, रिपोर्टों से पूरी तस्वीर देखें कि आपके नाम से कौन-कौन भेज रहा है, और जब डेटा दिखाए कि ऐसा करना सुरक्षित है तब नीति को सख्त करें। तीनों प्रोटोकॉल की वैचारिक तुलना के लिए SPF बनाम DKIM बनाम DMARC देखें, और Bird से जुड़े विवरण प्रमाणीकरण गाइड में हैं।