DMARC नीति वह निर्देश है जिसे आप प्रकाशित करते हैं, ताकि प्राप्त करने वाले मेल सर्वर जानें कि आपके डोमेन के लिए प्रमाणीकरण में विफल होने वाले संदेशों के साथ क्या करना है। यह आपके DMARC रिकॉर्ड का p= टैग है, और इसके तीन संभावित मान हैं: none, quarantine और reject। DMARC लागू करने का अधिकांश काम सही मान चुनना और उनके बीच धीरे-धीरे आगे बढ़ना है।
तीन DMARC नीतियाँ कौन-सी हैं?
हर नीति सख्ती का एक अलग स्तर है, केवल निगरानी से लेकर पूरी तरह रोकने तक।
| नीति | प्राप्तकर्ता क्या करता है | इसका उपयोग कब करें |
|---|---|---|
p=none | कुछ अलग नहीं। मेल सामान्य रूप से पहुँचाता है और केवल आपको रिपोर्ट भेजता है। | शुरुआत में, जब आप पुष्टि कर रहे हों कि वैध मेल संरेखित है। |
p=quarantine | विफल मेल को संदिग्ध मानता है और आम तौर पर उसे स्पैम में भेज देता है। | जब रिपोर्ट साफ़ दिखें और आप धीरे-धीरे लागू करने के लिए तैयार हों। |
p=reject | विफल मेल को सीधे अस्वीकार कर देता है, इसलिए वह कभी नहीं पहुँचता। | पूरी सुरक्षा, जब आपको अपने प्रमाणीकरण पर भरोसा हो जाए। |
आपकी पॉलिसी एक अनुरोध है। प्राप्तकर्ता तय करते हैं कि उसका पालन करें या नहीं, और बड़े मेलबॉक्स प्रदाता आम तौर पर उसका पालन करते हैं। p=reject प्रकाशित करने से यह गारंटी नहीं मिलती कि दुनिया का हर सर्वर नकली मेल रोकेगा, लेकिन ज़्यादातर भेजने वालों के लिए अहम प्रदाता उस पर कार्रवाई करेंगे।
p=none से शुरुआत क्यों करें?
क्योंकि यह कुछ भी नहीं बदलती, और इस दौरान आप जानकारी जुटाते हैं। p=none डिलीवरी को छुए बिना रिपोर्टिंग चालू करती है, इसलिए कुछ भी लागू करने से पहले आपको पूरी तस्वीर मिल जाती है कि आपके डोमेन से कौन मेल भेजता है। लगभग हमेशा कोई अनपेक्षित स्रोत मिलता है, जैसे कोई क्षेत्रीय कार्यालय, बिलिंग सिस्टम या पुराना मार्केटिंग टूल, जो असली मेल भेजता है और सीधे reject पर जाने से टूट जाता।
मॉनिटर मोड में तब तक रहें जब तक आपकी रिपोर्ट में हर वैध स्रोत पास और अलाइन न होने लगे। DMARC रिपोर्ट पढ़ना बताता है कि इसकी पुष्टि कैसे करें। कोई तय समय-सीमा नहीं है, लेकिन कई भेजने वालों वाले डोमेन के लिए आम तौर पर कुछ हफ़्ते लगते हैं।
none से reject तक कैसे बढ़ें?
धीरे-धीरे, हर चरण पर रिपोर्ट देखते हुए। आम तरीका यह है:
p=noneप्रकाशित करें और तब तक रिपोर्ट इकट्ठा करें जब तक तस्वीर साफ़ न हो जाए।p=quarantineपर जाएँ और रिपोर्ट फिर से देखें।- पूर्ण प्रवर्तन के लिए
p=rejectपर स्विच करें।
अगर नीति सख़्त करने पर विफलताएँ दिखें, तो पिछली नीति पर लौटने के बजाय गति धीमी करें और उन्हें ठीक करें। इनके कारण अनुमानित होते हैं, और DMARC विफलताओं को कैसे ठीक करें में इन्हें एक-एक करके समझाया गया है।
pct का क्या हुआ?
मानक ने इसे हटा दिया है, इसलिए अपना रोलआउट इस पर आधारित न करें।
pct टैग आपकी नीति को सारे विफल मेल के बजाय उसके एक प्रतिशत हिस्से पर लागू करता था, और प्रवर्तन की ओर धीरे-धीरे बढ़ने का यही सामान्य तरीका था। RFC 9989 ने उस सूचनात्मक विनिर्देश की जगह ली जिस पर DMARC वर्षों तक चलता रहा, और इसने यह टैग हटा दिया। इसका अपना परिशिष्ट कारण बताता है: 0 और 100 के अलावा अन्य मानों पर यह टैग "was usually not accurately applied", और ये अशुद्धियाँ "varied widely from one implementation to another"।
इसलिए pct=25 वाला रिकॉर्ड आपके एक-चौथाई मेल के साथ वह कभी नहीं कर रहा था जो उसके लेखक ने सोचा था। इसके बजाय, रिपोर्ट में दिखने वाली समस्याओं को ठीक करके और p= को चरणबद्ध तरीके से बदलकर प्रवर्तन की ओर बढ़ें, जैसा ऊपर के चरण करते हैं। बाकी बदलावों के बारे में DMARC संरेखण क्या है में बताया गया है।
सबडोमेन का क्या?
इसके लिए sp टैग है। डिफ़ॉल्ट रूप से आपकी p नीति आपके सबडोमेन पर भी लागू होती है, लेकिन sp से आप उनके लिए अलग नीति तय कर सकते हैं। एक आम तरीका है मुख्य डोमेन पर सख़्त नीति और सबडोमेन पर ढीला नियम, जैसे p=reject; sp=none, जब तक आप किसी सबडोमेन के प्रेषकों को संरेखण में लाते हैं। sp न लिखें तो सबडोमेन सीधे p अपना लेते हैं। टैग की पूरी सूची के लिए DMARC रिकॉर्ड क्या है देखें।
आपको किस नीति का लक्ष्य रखना चाहिए?
p=reject मंज़िल है, क्योंकि केवल यही नीति स्पूफ़ किए गए मेल को किसी तक पहुँचने से वास्तव में रोकती है। p=none अपने आप किसी की रक्षा नहीं करती, इसलिए इसे शुरुआती बिंदु मानें और आगे बढ़ते रहें। कई डोमेन वर्षों तक मॉनिटर मोड में अटके रहते हैं और इससे सुरक्षा का झूठा भरोसा पाते हैं। अगर आपका डोमेन स्पूफ़ करने लायक है, और ज़्यादातर पहचाने जाने वाले डोमेन होते हैं, तो reject ही वह लक्ष्य है जिसकी ओर बढ़ना चाहिए। वहाँ जल्दी पहुँचना ज़रूरी है या नहीं, इसका विषय क्या मुझे DMARC की ज़रूरत है है।
राहत की बात यह है कि गति आप तय करते हैं। none प्रकाशित करें, रिपोर्ट पढ़ें, जब डेटा दिखाए कि यह सुरक्षित है तब नीति को सख्त करें, और आप वैध मेल को कभी जोखिम में डाले बिना reject तक पहुँच जाएँगे। ऑथेंटिकेशन गाइड में Bird से जुड़े चरण दिए गए हैं, और आप अपने भेजने वाले डोमेन से नीतियाँ प्रबंधित कर सकते हैं।