Wiadomość może przejść uwierzytelnianie dla jednej domeny, a odbiorcy wyświetlać inną domenę.
Jak DMARC sprawdza wiadomość?
Serwer odbiorczy sprawdza, czy pozytywny wynik SPF lub DKIM jest zgodny z domeną w widocznym adresie From. Wystarczy jedna zgodna pozytywna weryfikacja, aby DMARC przeszedł pomyślnie.
- Publikujesz swoją politykę DMARC w DNS.
- Odbiorca odczytuje politykę i sprawdza SPF, DKIM oraz zgodność domen.
- Jeśli żadna metoda nie przejdzie pomyślnie i nie będzie zgodna, odbiorca uwzględnia Twoją żądaną politykę obsługi błędów obok własnych reguł filtrowania.
- Uczestniczący odbiorcy wysyłają raporty uwierzytelniania na wskazane przez Ciebie adresy.
SPF, DKIM i DMARC pełnią różne role. SPF sprawdza, czy adres IP nadawcy jest autoryzowany dla domeny envelope-from, która odbiera zwrotki. DKIM weryfikuje podpis nad podpisaną treścią wiadomości. DMARC łączy którykolwiek z tych wyników z domeną, którą widzi odbiorca.
Co oznacza zgodność domen?
Zgodność oznacza, że uwierzytelniona domena pasuje do widocznej domeny From według wybranej przez Ciebie reguły dopasowania. Dla SPF uwierzytelnioną tożsamością jest zwykle domena envelope-from. Dla DKIM jest to domena d= z podpisu.
Zgodność rozluźniona dopuszcza subdomeny współdzielące tę samą domenę organizacyjną, czyli domenę zarejestrowaną, taką jak example.com. Zgodność ścisła wymaga dokładnego dopasowania. Na przykład send.example.com jest zgodna z example.com przy rozluźnionej zgodności SPF, ale nie przy zgodności ścisłej.
Tagi aspf i adkim wybierają zgodność ścisłą (s) lub rozluźnioną (r) dla każdej metody. Domyślnie obie stosują zgodność rozluźnioną. Jak działa DMARC opisuje te sprawdzenia bardziej szczegółowo.
Co zawiera rekord DMARC?
Rekord DMARC to rekord DNS TXT pod adresem _dmarc w Twojej domenie. Ten przykład żąda raportów bez żądania kwarantanny ani odrzucenia:
_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc-aggregate@example.com; ruf=mailto:dmarc-afrf@example.com; pct=100"| Tag | Znaczenie w przykładzie |
|---|---|
v=DMARC1 | Identyfikuje rekord jako DMARC. |
p=none | Żąda braku egzekwowania DMARC, dopóki analizujesz wyniki uwierzytelniania. |
rua | Wskazuje skrzynkę na raporty zbiorcze. |
ruf | Wskazuje skrzynkę na raporty o błędach; odbiorcy mogą nie dostarczać tych raportów. |
pct=100 | Stosuje żądaną politykę egzekwowania do wszystkich wiadomości z błędami; nie zamienia p=none w egzekwowanie. |
Zastąp przykładową domenę i adresy raportowania własnymi. Opis rekordu DMARC obejmuje dodatkowe ustawienia.
Co może egzekwować polityka DMARC?
Twoja polityka żąda od odbiorców określonego postępowania z wiadomościami, które nie przejdą DMARC. Ostateczną decyzję o dostarczeniu podejmuje odbiorca.
| Polityka | Twoje żądanie |
|---|---|
p=none | Nie stosuj egzekwowania specyficznego dla DMARC. Inne kontrole spamu i bezpieczeństwa nadal działają. |
p=quarantine | Traktuj wiadomości z błędami jako podejrzane, zwykle umieszczając je w spamie. |
p=reject | Odrzucaj wiadomości z błędami. |
DMARC chroni przed nieautoryzowanym użyciem Twojej domeny w adresie From. Nie powstrzymuje kogoś, kto użyje innej, podobnie wyglądającej domeny lub skopiuje Twoją nazwę wyświetlaną. Pozytywny wynik DMARC nie gwarantuje też dostarczenia do skrzynki odbiorczej. RFC 7489, specyfikacja DMARC, pozostawia decyzję o przyjęciu wiadomości odbiorcy.
Jak zacząć egzekwować politykę?
Zacznij od p=none i raportowania zbiorczego, następnie zidentyfikuj i uwierzytelnij każde prawidłowe źródło wysyłki, zanim zaostrzysz politykę. Zapobiega to blokowaniu nadawcy, którego zapomniałeś skonfigurować, przez politykę egzekwowania.
Raporty zbiorcze pokazują wyniki uwierzytelniania zgłoszone przez uczestniczących odbiorców. Raporty o błędach dostarczają szczegóły na poziomie wiadomości, gdy odbiorca je udostępnia. Brak raportów nie dowodzi, że nikt nie użył Twojej domeny.
Przejdź na kwarantannę lub odrzucanie po rozwiązaniu prawidłowych błędów uwierzytelniania. Opis polityki DMARC i kroki konfiguracji opisują to wdrożenie.
Jak skonfigurować DMARC dla Bird?
Opublikuj rekordy zwrócone dla Twojej domeny nadawczej: DKIM, CNAME return-path i prawidłową politykę DMARC. Prawidłowa polityka obejmująca domenę może być dziedziczona z jej domeny organizacyjnej. p=none spełnia sprawdzenie DMARC w Bird.
Odpowiedź domeny raportuje sprawdzenie polityki w capabilities.dmarc.status. Sprawdź capabilities.sending.status pod kątem gotowości dla DKIM, return-path i DMARC. Oba pola używają następujących statusów:
| Status | Znaczenie i działanie |
|---|---|
pending | Weryfikacja nie została uruchomiona lub trwa; poczekaj na wynik. |
verified | Rekordy DNS tej funkcji odpowiadają oczekiwanym wartościom. |
warning | Wcześniej zweryfikowane rekordy przestały się zgadzać; napraw je przed końcem okresu karencji. Wysyłka nie jest jeszcze wstrzymana. |
failed | Wartość DNS jest nieprawidłowa; popraw ją. |
temporary_failure | Zapytanie DNS nie powiodło się przejściowo; weryfikacja jest ponawiana automatycznie. |
not_configured | Ta funkcja nie jest skonfigurowana dla tej domeny. |
Poradnik domen nadawczych opisuje weryfikację, a poradnik uwierzytelniania wyjaśnia rekordy DNS.