DMARC रिकॉर्ड एक अकेली DNS TXT एंट्री है जो आपकी ईमेल प्रमाणीकरण नीति प्रकाशित करती है। यह एक तय जगह, _dmarc.yourdomain.com (शुरुआत के अंडरस्कोर पर ध्यान दें), पर रहती है। कोई भी प्राप्त करने वाला मेल सर्वर इसे देखकर जान सकता है कि विफल मेल को आप कैसे संभालना चाहते हैं और रिपोर्ट कहाँ भेजनी हैं।
DMARC रिकॉर्ड कहाँ रहता है?
हमेशा उस डोमेन के _dmarc सबडोमेन पर, जिसे आप सुरक्षित कर रहे हैं। example.com के लिए रिकॉर्ड _dmarc.example.com पर होता है। जिस सबडोमेन से आप भेजते हैं, जैसे mail.example.com, उसके लिए यह _dmarc.mail.example.com होगा। फिर भी ज़्यादातर टीमें संगठन के मुख्य डोमेन पर एक रिकॉर्ड प्रकाशित करती हैं और उसी से सबडोमेन भी कवर हो जाते हैं। यह TXT रिकॉर्ड है, वही रिकॉर्ड प्रकार जो SPF इस्तेमाल करता है। इसलिए जिसने SPF रिकॉर्ड प्रकाशित किया है, उसे यह प्रक्रिया जानी-पहचानी लगेगी।
अगर कोई DMARC रिकॉर्ड न हो तो क्या होता है?
"No DMARC record found" का मतलब है कि _dmarc.yourdomain.com पर कुछ भी प्रकाशित नहीं है। इसके दो परिणाम होते हैं, और दूसरा परिणाम अक्सर नज़रअंदाज़ हो जाता है।
प्राप्त करने वाले सर्वरों के पास आपका कोई निर्देश नहीं होता, इसलिए प्रमाणीकरण में विफल संदेश को हर सर्वर अपने तरीके से संभालता है। रिपोर्ट rua में ही माँगी जाती हैं, इसलिए रिकॉर्ड न होने पर कोई रिपोर्ट नहीं माँगी जाती। आपको कोई एग्रीगेट रिपोर्ट नहीं मिलती, और आप नहीं देख पाते कि आपके डोमेन के नाम से कौन भेज रहा है या आपका अपना मेल पास हो रहा है या नहीं।
रिकॉर्ड न होना p=none जैसा नहीं है। p=none रिकॉर्ड एक प्रकाशित नीति है जो प्राप्तकर्ताओं से कुछ भी न बदलने को कहती है, पर आपको रिपोर्ट भेजती रहती है। आम तौर पर शुरुआत यहीं से होती है। रिकॉर्ड बिल्कुल न होने पर आपको न नीति मिलती है, न जानकारी।
किसी डोमेन को खुद जाँचने के लिए _dmarc नाम पर TXT रिकॉर्ड क्वेरी करें:
dig +short TXT _dmarc.example.com
nslookup -type=TXT _dmarc.example.comअगर आप हाथ से क्वेरी नहीं करना चाहते, तो ईमेल एनालाइज़र ब्राउज़र में डोमेन जाँचता है और bird email tools audit यही काम शेल से करता है।
अगर जवाब में v=DMARC1 है, तो रिकॉर्ड मौजूद है। खाली जवाब का मतलब है कि रिकॉर्ड सच में नहीं है। दो मिलती-जुलती गलतियों में आपके कुछ प्रकाशित करने के बावजूद नतीजा "not found" आता है:
- गलत नाम पर प्रकाशित। रिकॉर्ड को शुरुआती अंडरस्कोर के साथ
_dmarc.example.comपर होना चाहिए, न कि डोमेन रूट पर आपके SPF रिकॉर्ड के बगल में। - गलत ढंग से लिखा
vटैग।v=DMARC1अनिवार्य है और इसे सबसे पहले आना चाहिए। इसलिए वहाँ टाइपो होने पर रिकॉर्ड को DMARC के रूप में पढ़ा नहीं जा सकता, भले ही TXT एंट्री रिज़ॉल्व हो जाए।
अगर पता चलता है कि आपका कोई रिकॉर्ड नहीं है, तो अगला कदम DMARC कैसे सेट अप करें है। आमतौर पर पहला रिकॉर्ड p=none से शुरू होता है, जिसमें rua ऐसे मेलबॉक्स की ओर इशारा करता है जिसे आप पढ़ते हैं।
DMARC रिकॉर्ड कैसा दिखता है?
यह एक सीधा-सादा उदाहरण है:
v=DMARC1; p=none; rua=mailto:dmarc@example.comबाएँ से दाएँ पढ़ने पर इसका मतलब है: यह DMARC संस्करण 1 का रिकॉर्ड है, अभी कोई प्रवर्तन लागू न करें (केवल निगरानी), और एग्रीगेट रिपोर्ट dmarc@example.com पर भेजें। एक ज़्यादा पूरा रिकॉर्ड ऐसा दिख सकता है:
v=DMARC1; p=quarantine; sp=reject; rua=mailto:agg@example.com; ruf=mailto:forensic@example.com; adkim=s; aspf=rहर रिकॉर्ड सेमीकोलन से अलग किए गए tag=value जोड़ों की सूची भर है। दो टैग अनिवार्य हैं (v और p); बाकी वैकल्पिक हैं और उनके उचित डिफ़ॉल्ट मान हैं।
हर DMARC टैग का क्या मतलब है?
| टैग | अनिवार्य | यह क्या करता है | उदाहरण |
|---|---|---|---|
v | हाँ | प्रोटोकॉल संस्करण। यह हमेशा DMARC1 होता है और इसे सबसे पहले आना चाहिए। | v=DMARC1 |
p | हाँ | मुख्य डोमेन के लिए नीति: none, quarantine या reject। | p=quarantine |
sp | नहीं | सबडोमेन के लिए नीति, जब आप इसे p से अलग रखना चाहते हैं। | sp=reject |
rua | नहीं | एग्रीगेट (सारांश) रिपोर्ट कहाँ भेजी जाती हैं। | rua=mailto:agg@example.com |
ruf | नहीं | फोरेंसिक (हर विफल संदेश की) रिपोर्ट कहाँ भेजी जाती हैं। | ruf=mailto:forensic@example.com |
adkim | नहीं | DKIM अलाइनमेंट मोड: r रिलैक्स्ड (डिफ़ॉल्ट) या s स्ट्रिक्ट। | adkim=s |
aspf | नहीं | SPF अलाइनमेंट मोड: r रिलैक्स्ड (डिफ़ॉल्ट) या s स्ट्रिक्ट। | aspf=r |
fo | नहीं | फ़ॉरेंसिक रिपोर्टिंग विकल्प: विफलता रिपोर्ट कब बनाई जाती है। | fo=1 |
ri | नहीं | एग्रीगेट रिपोर्टिंग का अंतराल, सेकंड में (डिफ़ॉल्ट 86,400)। | ri=86400 |
आप सबसे ज़्यादा p और rua को बदलेंगे। p आपका लागू करने का स्तर है, और इसे सही चुनना अच्छे रोलआउट का मूल है (पूरा विवरण DMARC नीति क्या है में है)। rua वह पता है जिस पर दैनिक सारांश आते हैं, और इन्हीं सारांशों से आपको असली जानकारी मिलती है।
rua और ruf में क्या अंतर है?
rua एग्रीगेट रिपोर्ट इकट्ठा करता है: XML सारांश, जो आम तौर पर हर प्रदाता से दिन में एक बार आते हैं और आपके डोमेन के नाम से उन्हें मिले सभी मेल को कवर करते हैं। इसी स्ट्रीम पर नज़र रखनी चाहिए। ruf फ़ोरेंसिक रिपोर्ट इकट्ठा करता है, जो विफल हुए अलग-अलग संदेशों की प्रतियाँ होती हैं (अक्सर कुछ हिस्से छिपाकर)। कई प्रदाता गोपनीयता के कारण फ़ोरेंसिक रिपोर्ट भेजते ही नहीं, इसलिए ruf मेलबॉक्स खाली रहना सामान्य है। जब रिपोर्ट आने लगें, तो DMARC रिपोर्ट कैसे पढ़ें में फ़ील्ड समझाए गए हैं।
अलाइनमेंट टैग क्या करते हैं?
adkim और aspf तय करते हैं कि डोमेन का मिलान कितना सटीक होना चाहिए। रिलैक्स्ड (r) में सबडोमेन संगठन के डोमेन से मेल खा सकता है, इसलिए mail.example.com का अलाइनमेंट example.com से होता है। स्ट्रिक्ट (s) में बिल्कुल सटीक मिलान ज़रूरी है। रिलैक्स्ड डिफ़ॉल्ट है और लगभग सभी के लिए सही विकल्प है; स्ट्रिक्ट तभी चुनें जब आपके पास कोई खास कारण हो। अलाइनमेंट ही वह तंत्र है जिसकी वजह से DMARC अकेले SPF या DKIM से ज़्यादा मज़बूत है, और DMARC कैसे काम करता है में इसका कारण बताया गया है।
इसे कैसे प्रकाशित करें और जाँचें?
आप अपने DNS होस्ट के ज़रिए TXT रिकॉर्ड जोड़ें, फिर पुष्टि करें कि वह रिज़ॉल्व होता है। cPanel के निर्देशों सहित पूरी प्रक्रिया DMARC कैसे सेट करें में है। अगर आप Bird से भेजते हैं, तो DKIM और SPF अलाइनमेंट आपके सेंडिंग-डोमेन रिकॉर्ड से सेट होते हैं, इसलिए ज़्यादातर काम बस यह DMARC रिकॉर्ड प्रकाशित करना और rua को ऐसे मेलबॉक्स पर सेट करना है जिसे आप देखते हैं। Bird से जुड़े विवरण डॉक्स की ऑथेंटिकेशन गाइड में हैं।
DMARC रिकॉर्ड छोटा होता है, लेकिन एक ही लाइन में बहुत काम करता है। p और rua सही रखें, बाकी सब आप बाद में सुधार सकते हैं।