DMARC क्या तय करता है
SPF और DKIM में से हर एक किसी डोमेन के बारे में कुछ साबित करता है, लेकिन दोनों में से कोई भी From लाइन के पते को नहीं देखता, जबकि लोग वही पता पढ़ते हैं। DMARC इन्हें उस पते से जोड़ता है। कोई संदेश DMARC में तब पास होता है, जब SPF या DKIM ऐसे डोमेन के लिए पास हो जो From डोमेन से मेल खाता हो। रिकॉर्ड प्राप्तकर्ताओं को बताता है कि मेल न खाने वाले संदेश के साथ क्या करना है।
यह रिकॉर्ड DNS में TXT रिकॉर्ड के रूप में _dmarc के बाद आपके डोमेन वाले नाम पर रहता है। जब उस नाम पर कोई रिकॉर्ड नहीं होता, तो प्राप्तकर्ता इसके बजाय संगठनात्मक डोमेन देखते हैं, यानी पंजीकृत डोमेन, जैसे news.example.com के लिए example.com। इसलिए किसी सबडोमेन को उसके अपने रिकॉर्ड के बिना भी कवर किया जा सकता है।
DMARC नीति को समझना
p=none प्राप्तकर्ताओं से कोई कार्रवाई न करने और केवल रिपोर्ट भेजने को कहता है। सभी को यहीं से शुरू करना चाहिए, लेकिन बहुत अधिक डोमेन वर्षों तक इसी पर बने रहते हैं। जब यह नीति लागू होती है, तो कोई भी आपके डोमेन को From लाइन में रखकर मेल भेज सकता है और प्राप्तकर्ता को उसे स्वीकार करने के लिए कहा गया होता है।
p=quarantine विफल मेल को स्पैम में भेजता है, जबकि p=reject उसे प्रवेश पर ही अस्वीकार कर देता है। Gmail और Yahoo ने फ़रवरी 2024 से बड़ी मात्रा में ईमेल भेजने वालों के लिए DMARC रिकॉर्ड प्रकाशित करना अनिवार्य किया है। p=none वाला रिकॉर्ड औपचारिक रूप से इस आवश्यकता को पूरा करता है, फिर भी जाँच टूल इसे चेतावनी के रूप में दिखाता है।
वे रिपोर्ट जो कभी नहीं पहुँचतीं
आपके मेल को देखने वाला हर प्राप्तकर्ता rua पतों पर डिफ़ॉल्ट रूप से प्रतिदिन एक समग्र रिपोर्ट भेजता है। यदि कोई पता उस डोमेन से अलग डोमेन पर है जिसके लिए रिकॉर्ड बनाया गया है, तो RFC 7489 के अनुसार उस दूसरे डोमेन को एक प्राधिकरण रिकॉर्ड प्रकाशित करना होगा, जिसमें कहा गया हो कि वह आपके डोमेन की रिपोर्ट स्वीकार करता है। जाँच टूल हर बाहरी पते के लिए उस रिकॉर्ड को खोजता है। इसके बिना प्राप्तकर्ता रिपोर्ट छोड़ देते हैं।
सवाल
मैं DMARC रिकॉर्ड कैसे जोड़ूँ?
_dmarc के बाद अपने डोमेन वाले नाम पर v=DMARC1 और एक नीति के साथ TXT रिकॉर्ड प्रकाशित करें, उदाहरण के लिए v=DMARC1; p=none; rua=mailto:dmarc@example.com। p=none से शुरू करें, कुछ सप्ताह तक रिपोर्ट पढ़ें, फिर quarantine और बाद में reject पर जाएँ। DNS में रिकॉर्ड उपलब्ध होने के बाद उसे यहाँ जाँचें।
क्या p=none खराब है?
पहले चरण के रूप में यह अपना काम करता है: यह डिलीवरी को प्रभावित किए बिना रिपोर्ट इकट्ठा करता है, और इसी तरह आपको उन सेवाओं का पता चलता है जो आपकी ओर से ईमेल भेज रही हैं लेकिन अभी प्रमाणित नहीं हैं। इसे बनाए रखना समस्या बन जाता है, क्योंकि रिपोर्ट का उद्देश्य आपको पहले क्वारंटीन और फिर अस्वीकार करने की नीति तक पहुँचाना है।
क्या हर सबडोमेन के लिए अलग रिकॉर्ड चाहिए?
जिस सबडोमेन का अपना रिकॉर्ड नहीं होता, उस पर संगठनात्मक डोमेन का रिकॉर्ड लागू होता है, और उस रिकॉर्ड का sp टैग सबडोमेन के लिए नीति तय करता है। इसलिए आम तौर पर एक रिकॉर्ड से सभी सबडोमेन कवर हो जाते हैं।
Relaxed या strict alignment?
Relaxed, जब तक strict चुनने की कोई वजह न हो। Relaxed alignment में mail.example.com का DKIM हस्ताक्षर example.com के From पते के लिए मान्य माना जाता है। Strict alignment इसे रोक देता है, और इसके साथ ऐसी कई व्यवस्थाएँ भी विफल हो जाती हैं जहाँ प्रदाता किसी सबडोमेन से हस्ताक्षर करता है।
"DMARC policy not enabled" का क्या मतलब है?
इसका मतलब है कि डोमेन के DMARC रिकॉर्ड में p=none है या डोमेन का कोई DMARC रिकॉर्ड ही नहीं है। p=none होने पर रिसीवर विफल ईमेल को सामान्य रूप से डिलीवर करते हैं और केवल rua पते पर रिपोर्ट भेजते हैं, इसलिए अभी किसी को भी आपके डोमेन के नाम से ईमेल भेजने से रोका नहीं जाता।
पूरी गाइड: DMARC policy not enabled
क्या किसी डोमेन के एक से अधिक DMARC रिकॉर्ड हो सकते हैं?
नहीं। जब _dmarc में v=DMARC1 से शुरू होने वाले दो TXT रिकॉर्ड होते हैं, तो रिसीवर दोनों को खारिज कर देते हैं और मानते हैं कि डोमेन का कोई DMARC रिकॉर्ड नहीं है। एक रिकॉर्ड रखें और दूसरे रिकॉर्ड से ज़रूरी टैग उसमें जोड़ दें।
Quarantine या reject?
पहले quarantine लागू करें। प्राप्तकर्ता विफल ईमेल को संदिग्ध मानते हैं और आमतौर पर उसे स्पैम में डालते हैं। इसलिए आपसे छूटी किसी वैध सेवा का ईमेल खोने के बजाय केवल दूसरे फ़ोल्डर में जाता है। जब रिपोर्ट में कुछ सप्ताह तक आपका कोई ईमेल विफल न दिखे, तब reject लागू करें।