Ce decide DMARC
SPF și DKIM dovedesc fiecare câte ceva despre un domeniu, dar niciunul nu verifică adresa din linia From, cea pe care o citesc oamenii. DMARC le asociază cu aceasta. Un mesaj trece verificarea DMARC când SPF sau DKIM trece pentru un domeniu care corespunde domeniului From, iar înregistrarea le spune serverelor receptoare ce să facă în cazul unui mesaj care nu trece verificarea.
Înregistrarea se află în DNS ca înregistrare TXT la _dmarc urmat de domeniul tău. Când nu există nicio înregistrare pentru acel nume, serverele receptoare verifică în schimb domeniul organizațional, adică domeniul înregistrat, example.com pentru news.example.com. De aceea, un subdomeniu poate fi acoperit fără să aibă propria înregistrare.
Cum interpretezi politica
p=none le cere serverelor receptoare să nu facă nimic și doar să trimită rapoarte. Acesta este punctul de la care ar trebui să înceapă toată lumea și la care mult prea multe domenii rămân ani întregi. Cât timp această politică este activă, oricine poate trimite e-mailuri cu domeniul tău în linia From, iar serverului receptor i s-a spus să le accepte.
p=quarantine trimite în spam mesajele care nu trec verificarea, iar p=reject le refuză de la început. Gmail și Yahoo le cer expeditorilor de mesaje în masă să publice o înregistrare DMARC din februarie 2024. O înregistrare cu p=none îndeplinește formal această cerință, dar instrumentul de verificare o marchează în continuare cu un avertisment.
Rapoarte care nu ajung niciodată
Adresele rua primesc în mod implicit, o dată pe zi, un raport agregat de la fiecare server receptor care vede mesajele tale. Dacă o adresă se află pe un domeniu diferit de cel pentru care este înregistrarea, RFC 7489 impune ca acel domeniu să publice o înregistrare de autorizare care confirmă că acceptă rapoarte pentru domeniul tău. Instrumentul de verificare caută acea înregistrare pentru fiecare adresă externă. Fără aceasta, serverele receptoare elimină rapoartele.
Întrebări
Cum adaug o înregistrare DMARC?
Publică o înregistrare TXT la _dmarc urmat de domeniul tău, cu v=DMARC1 și o politică, de exemplu v=DMARC1; p=none; rua=mailto:dmarc@example.com. Începe cu p=none, citește rapoartele timp de câteva săptămâni, apoi treci la quarantine și ulterior la reject. Verifică înregistrarea aici după propagarea acesteia în DNS.
Este p=none o problemă?
Ca prim pas, își face treaba: colectează rapoarte fără să afecteze livrarea, iar astfel identifici serviciile care trimit în numele tău și care nu sunt încă autentificate. Devine o problemă dacă rămâne așa, deoarece scopul rapoartelor este să ajungi la carantină și apoi la respingere.
Am nevoie de o înregistrare separată pentru fiecare subdomeniu?
Un subdomeniu fără propria înregistrare folosește înregistrarea domeniului organizațional, iar eticheta sp din acea înregistrare stabilește politica pentru subdomenii. Prin urmare, o singură înregistrare le acoperă de obicei pe toate.
Aliniere relaxată sau strictă?
Relaxată, dacă nu ai un motiv să alegi altfel. Cu alinierea relaxată, o semnătură DKIM de la mail.example.com este valabilă pentru adresele From de la example.com. Alinierea strictă împiedică acest lucru și afectează multe configurații în care un furnizor semnează folosind un subdomeniu.
Ce înseamnă „DMARC policy not enabled”?
Înseamnă că înregistrarea DMARC a domeniului indică p=none sau că domeniul nu are nicio înregistrare DMARC. Cu p=none, serverele destinatare livrează ca de obicei mesajele care nu trec verificarea și trimit doar rapoarte la adresa rua, astfel că nimeni nu este încă împiedicat să trimită mesaje folosind domeniul tău.
Ghid complet: DMARC policy not enabled
Poate un domeniu să aibă mai multe înregistrări DMARC?
Nu. Când _dmarc conține două înregistrări TXT care încep cu v=DMARC1, serverele destinatare le ignoră pe ambele și consideră că domeniul nu are nicio înregistrare DMARC. Păstrează una singură și mută în ea etichetele de care ai nevoie din cealaltă.
Carantină sau respingere?
Începe cu quarantine. Serverele destinatare tratează mesajele care nu trec verificarea ca fiind suspecte, de obicei trimițându-le în spam, astfel încât un serviciu legitim pe care l-ai omis te costă un folder, nu un mesaj pierdut. Treci la reject după ce rapoartele arată timp de câteva săptămâni că niciun mesaj legitim nu eșuează.