एक अधिकृत सर्वर भी अनचाहा संदेश भेज सकता है। एक मान्य हस्ताक्षर ऐसे डोमेन का हो सकता है जो प्राप्तकर्ता को दिखाए गए डोमेन से अलग है। हर जाँच संदेश के बारे में एक अलग प्रश्न का उत्तर देती है।
हर जाँच क्या साबित करती है?
SPF भेजने वाले IP की जाँच करता है, DKIM हस्ताक्षर की जाँच करता है, और DMARC पास हुए परिणाम को दिखने वाले From डोमेन से जोड़ता है।
| जाँच | जाँची गई पहचान | पास होने से क्या स्थापित होता है | इससे क्या स्थापित नहीं होता |
|---|---|---|---|
| SPF | Envelope-from डोमेन, जो आम तौर पर बाउंस के लिए उपयोग होता है | कनेक्ट करने वाला IP उस डोमेन की नीति द्वारा अधिकृत है। | दिखाई देने वाला From डोमेन या संदेश की अखंडता। |
| DKIM | सिग्नेचर के d= मान में दिया गया साइनिंग डोमेन | सिग्नेचर अपनी प्रकाशित कुंजी और साइन की गई सामग्री के आधार पर सत्यापित होता है। | यह कि संदेश का हर हिस्सा साइन किया गया था या प्राप्तकर्ता उसे चाहते हैं। |
| DMARC | दिखाई देने वाला From डोमेन | कम से कम एक पास होने वाला SPF या DKIM परिणाम उस डोमेन से मेल खाता है। | डिलीवरी या इनबॉक्स में पहुँचने की गारंटी। |
SPF कैसे काम करता है?
प्राप्तकर्ता सर्वर, कनेक्ट करने वाले सर्वर के IP की तुलना envelope-from डोमेन के लिए DNS में प्रकाशित SPF नीति से करता है। वह यह जाँच संदेश का मुख्य भाग प्राप्त करने से पहले ही कर सकता है, क्योंकि SPF सामग्री की जाँच नहीं करता।
- आप उन सर्वरों या सेवाओं को प्रकाशित करते हैं जिन्हें उस डोमेन का उपयोग करने की अनुमति है।
- प्राप्तकर्ता सर्वर पॉलिसी खोजता है और उसके नियमों को कनेक्ट करने वाले IP पर लागू करके जाँचता है।
- प्राप्तकर्ता सर्वर इस परिणाम का उपयोग अपनी स्वीकृति और फ़िल्टरिंग पॉलिसी के साथ करता है।
यदि कोई एलुमनाई मेलबॉक्स envelope-from पता बदले बिना किसी संदेश को दूसरे प्रदाता को फ़ॉरवर्ड करता है, तो हो सकता है कि फ़ॉरवर्ड करने वाले IP के पास अनुमति न हो। कोई मेलिंग सूची किसी संदेश को दोबारा भेजते समय भी यही समस्या पैदा कर सकती है। फ़ॉरवर्डर Sender Rewriting Scheme (SRS) का उपयोग कर सकता है, जो envelope-from पते को ऐसे डोमेन में बदल देता है जिसे वह प्रमाणित कर सकता है।
SPF रिकॉर्ड अधिकृत प्रेषकों को निर्दिष्ट करता है। नेस्टेड प्रदाता पॉलिसियाँ DNS लुकअप सीमा में गिनी जाती हैं।
DKIM कैसे काम करता है?
आपका भेजने वाला सर्वर संदेश की सामग्री पर एक निजी कुंजी से हस्ताक्षर करता है। प्राप्तकर्ता सर्वर उस हस्ताक्षर को सत्यापित करने के लिए DNS में मौजूद संबंधित सार्वजनिक कुंजी का उपयोग करता है।
हस्ताक्षर d= से हस्ताक्षर करने वाले डोमेन की और s= से कुंजी सेलेक्टर की पहचान करता है। सेलेक्टर बताता है कि किस DNS रिकॉर्ड में सार्वजनिक कुंजी है। प्राप्तकर्ता सर्वर उसी डोमेन और सेलेक्टर का उपयोग करके सार्वजनिक कुंजी खोजता है और हस्ताक्षर सत्यापित करता है।
केवल फ़ॉरवर्ड करने से DKIM अमान्य नहीं होता, क्योंकि यह जाँच फ़ॉरवर्ड करने वाले सर्वर के IP पर निर्भर नहीं करती। हस्ताक्षरित सामग्री बदलने से, जैसे मेलिंग-सूची का फ़ुटर जोड़ने से, हस्ताक्षर अमान्य हो सकता है। हस्ताक्षर अपने दायरे की सामग्री को प्रमाणित करता है; यह संदेश को एन्क्रिप्ट नहीं करता।
DMARC पहचानों को आपस में कैसे जोड़ता है?
DMARC के लिए ऐसा पास होने वाला SPF या DKIM परिणाम चाहिए जिसका डोमेन दिखाई देने वाले From डोमेन से संरेखित हो। इनमें से कोई भी एक संरेखित पास पर्याप्त है।
उदाहरण के लिए, From: billing@example.com दिखाने वाला संदेश relaxed संरेखण में send.example.com के लिए SPF पास कर सकता है। d=example.com वाला पास होने वाला DKIM हस्ताक्षर भी संरेखित होता है। unrelated.example का प्रमाणीकरण केवल पास होने से example.com के साथ संरेखित नहीं हो जाता।
विफल संदेशों के प्रबंधन और प्रमाणीकरण रिपोर्टों का अनुरोध करने के लिए आप एक DMARC नीति प्रकाशित करते हैं। भाग लेने वाले प्राप्तकर्ता सर्वर रिपोर्ट भेजते हैं। रिपोर्ट न मिलने से यह साबित नहीं होता कि किसी भी मेल ने आपके डोमेन का उपयोग नहीं किया।
Bird के लिए आपको क्या कॉन्फ़िगर करना चाहिए?
आप अपने भेजने वाले डोमेन के लिए DKIM, return-path CNAME और DMARC प्रकाशित करते हैं। return-path CNAME Bird के बाउंस इंफ्रास्ट्रक्चर की ओर इशारा करता है, जो apex पर अलग SPF रिकॉर्ड जोड़े बिना SPF प्राधिकरण देता है।
रिकॉर्ड dns_records से कॉपी करें। भेजने की तैयारी के लिए capabilities.sending.status जाँचें। इसके मान बताते हैं कि आपको आगे क्या करना है:
| स्थिति | अर्थ और कार्रवाई |
|---|---|
pending | सत्यापन अभी शुरू नहीं हुआ है या चल रहा है; उसके परिणाम की प्रतीक्षा करें। |
verified | इस क्षमता के DNS रिकॉर्ड अपेक्षित मानों से मेल खाते हैं। |
warning | पहले सत्यापित रिकॉर्ड अब मेल नहीं खाते; ग्रेस अवधि समाप्त होने से पहले उन्हें ठीक करें। भेजने पर अभी कोई असर नहीं पड़ा है। |
failed | कोई DNS मान गलत है; उसे ठीक करें। |
temporary_failure | DNS लुकअप अस्थायी रूप से विफल हुआ; सत्यापन अपने आप फिर से प्रयास करता है। |
not_configured | इस डोमेन के लिए यह क्षमता सेट अप नहीं है। |
आप ऑथेंटिकेशन रिकॉर्ड प्रकाशित करते हैं और अपने भेजने वाले डोमेन का सत्यापन करते हैं।
आपको कौन-सी जाँचें इस्तेमाल करनी चाहिए?
SPF और DKIM को DMARC के साथ इस्तेमाल करें, ताकि प्रमाणित पहचानें उस डोमेन से जुड़ें जो आपके प्राप्तकर्ता देखते हैं।
- SPF से envelope-from डोमेन के भेजने वाले इंफ्रास्ट्रक्चर को अधिकृत करें।
- बाहर जाने वाले संदेशों पर DKIM से हस्ताक्षर करें और सत्यापन कुंजी प्रकाशित करें।
- DMARC प्रकाशित करें, रिपोर्ट की गई ऑथेंटिकेशन विफलताओं की समीक्षा करें और quarantine या अस्वीकृति लागू करने से पहले वैध भेजने वालों को ठीक करें।