Τι ελέγχει το DMARC
Τα SPF και DKIM αποδεικνύουν το καθένα κάτι για ένα domain, αλλά κανένα δεν εξετάζει τη διεύθυνση στη γραμμή From, την οποία διαβάζουν οι χρήστες. Το DMARC τα συνδέει με αυτή. Ένα μήνυμα περνά τον έλεγχο DMARC όταν το SPF ή το DKIM περνά για ένα domain που αντιστοιχεί στο domain της γραμμής From, ενώ η εγγραφή καθορίζει τι πρέπει να κάνουν οι παραλήπτες με ένα μήνυμα που δεν περνά.
Η εγγραφή βρίσκεται στο DNS ως εγγραφή TXT, στο _dmarc ακολουθούμενο από το domain σας. Όταν δεν υπάρχει εγγραφή σε αυτό το όνομα, οι παραλήπτες αναζητούν την εγγραφή στο domain του οργανισμού, δηλαδή στο καταχωρισμένο domain, για παράδειγμα example.com για το news.example.com. Γι' αυτό ένα subdomain μπορεί να καλύπτεται χωρίς δική του εγγραφή.
Πώς διαβάζεται η πολιτική DMARC
Το p=none ζητά από τους παραλήπτες να μην κάνουν τίποτα και να στέλνουν μόνο αναφορές. Από εκεί πρέπει να ξεκινούν όλοι, αλλά υπερβολικά πολλά domain παραμένουν σε αυτήν τη ρύθμιση για χρόνια. Όσο ισχύει, οποιοσδήποτε μπορεί να στέλνει email με το domain σας στη γραμμή From και ο παραλήπτης έχει λάβει οδηγία να το αποδέχεται.
Το p=quarantine στέλνει τα email που αποτυγχάνουν στα ανεπιθύμητα, ενώ το p=reject τα απορρίπτει εξαρχής. Από τον Φεβρουάριο του 2024, τα Gmail και Yahoo απαιτούν από τους αποστολείς μαζικών email να δημοσιεύουν εγγραφή DMARC. Μια εγγραφή με p=none πληροί τυπικά αυτήν την απαίτηση, αλλά το εργαλείο ελέγχου εξακολουθεί να την επισημαίνει με προειδοποίηση.
Αναφορές DMARC που δεν φτάνουν ποτέ
Οι διευθύνσεις rua λαμβάνουν μία συγκεντρωτική αναφορά από κάθε παραλήπτη που βλέπει τα email σας, από προεπιλογή μία φορά την ημέρα. Αν μια διεύθυνση βρίσκεται σε διαφορετικό domain από εκείνο για το οποίο ισχύει η εγγραφή, το RFC 7489 απαιτεί από το άλλο domain να δημοσιεύσει εγγραφή εξουσιοδότησης που δηλώνει ότι αποδέχεται αναφορές για το δικό σας. Το εργαλείο ελέγχου αναζητά αυτήν την εγγραφή για κάθε εξωτερική διεύθυνση. Χωρίς αυτήν, οι παραλήπτες απορρίπτουν τις αναφορές.
Ερωτήσεις
Πώς προσθέτω εγγραφή DMARC;
Δημοσιεύστε μια εγγραφή TXT στο _dmarc ακολουθούμενο από το domain σας, με v=DMARC1 και μια πολιτική, για παράδειγμα v=DMARC1; p=none; rua=mailto:dmarc@example.com. Ξεκινήστε με p=none, διαβάστε τις αναφορές για μερικές εβδομάδες και μετά μεταβείτε σε quarantine και αργότερα σε reject. Ελέγξτε την εγγραφή εδώ μόλις ενημερωθεί το DNS.
Είναι κακό το p=none;
Ως πρώτο βήμα κάνει τη δουλειά του: συλλέγει αναφορές χωρίς να επηρεάζει την παράδοση και έτσι εντοπίζετε τις υπηρεσίες που στέλνουν για λογαριασμό σας αλλά δεν έχουν ακόμη έλεγχο ταυτότητας. Γίνεται πρόβλημα όταν παραμένει, καθώς ο σκοπός των αναφορών είναι να περάσετε σε καραντίνα και έπειτα σε απόρριψη.
Χρειάζομαι ξεχωριστή εγγραφή για κάθε υποτομέα;
Ένας υποτομέας χωρίς δική του εγγραφή χρησιμοποιεί την εγγραφή του οργανωτικού τομέα και η ετικέτα sp σε αυτή την εγγραφή ορίζει την πολιτική για τους υποτομείς. Επομένως, μία εγγραφή συνήθως τους καλύπτει όλους.
Χαλαρή ή αυστηρή ευθυγράμμιση;
Χαλαρή, εκτός αν έχετε λόγο για το αντίθετο. Με χαλαρή ευθυγράμμιση, μια υπογραφή DKIM από το mail.example.com θεωρείται έγκυρη για διευθύνσεις From στο example.com. Η αυστηρή ευθυγράμμιση το εμποδίζει αυτό και μαζί του πολλές ρυθμίσεις στις οποίες ένας πάροχος υπογράφει με υποτομέα.
Τι σημαίνει «DMARC policy not enabled»;
Σημαίνει ότι η εγγραφή DMARC του domain ορίζει p=none ή ότι το domain δεν έχει καθόλου εγγραφή DMARC. Με p=none, οι παραλήπτες παραδίδουν κανονικά τα email που αποτυγχάνουν και στέλνουν μόνο αναφορές στη διεύθυνση rua, επομένως κανείς δεν εμποδίζεται ακόμη να στέλνει χρησιμοποιώντας το domain σας.
Πλήρης οδηγός: DMARC policy not enabled
Μπορεί ένα domain να έχει περισσότερες από μία εγγραφές DMARC;
Όχι. Όταν το _dmarc περιέχει δύο εγγραφές TXT που αρχίζουν με v=DMARC1, οι παραλήπτες αγνοούν και τις δύο και θεωρούν ότι το domain δεν έχει καμία. Κρατήστε μία και μεταφέρετε σε αυτήν τα tags που χρειάζεστε από την άλλη.
Καραντίνα ή απόρριψη;
Ξεκινήστε με quarantine. Οι παραλήπτες αντιμετωπίζουν τα email που αποτυγχάνουν ως ύποπτα, συνήθως τοποθετώντας τα στα ανεπιθύμητα, οπότε αν παραλείψατε κάποια νόμιμη υπηρεσία, το κόστος είναι ένας λάθος φάκελος και όχι ένα χαμένο μήνυμα. Μεταβείτε σε reject όταν οι αναφορές δείξουν ότι κανένα δικό σας email δεν αποτυγχάνει για μερικές εβδομάδες.