DMARC ใช้ตัดสินอะไร
SPF และ DKIM ต่างใช้พิสูจน์ข้อมูลบางอย่างเกี่ยวกับโดเมน แต่ทั้งคู่ไม่ได้ตรวจสอบที่อยู่ในบรรทัด From ซึ่งเป็นที่อยู่ที่ผู้ใช้อ่าน DMARC เชื่อมโยงผลการตรวจสอบเหล่านี้เข้ากับที่อยู่ดังกล่าว ข้อความจะผ่าน DMARC เมื่อ SPF หรือ DKIM ผ่านสำหรับโดเมนที่ตรงกับโดเมน From และระเบียนจะบอกผู้รับว่าต้องทำอย่างไรกับข้อความที่ไม่ผ่าน
ระเบียนนี้อยู่ใน DNS เป็นระเบียน TXT ที่ _dmarc ตามด้วยโดเมนของคุณ เมื่อชื่อนั้นไม่มีระเบียน ผู้รับจะค้นหาโดเมนระดับองค์กรแทน ซึ่งคือโดเมนที่จดทะเบียน เช่น example.com สำหรับ news.example.com ด้วยเหตุนี้ โดเมนย่อยจึงได้รับการครอบคลุมได้โดยไม่ต้องมีระเบียนของตัวเอง
วิธีอ่านนโยบาย DMARC
p=none ขอให้ผู้รับไม่ดำเนินการใดๆ และส่งเฉพาะรายงาน ทุกโดเมนควรเริ่มต้นที่ค่านี้ แต่มีโดเมนมากเกินไปที่ใช้ค่านี้ต่อเนื่องนานหลายปี ตราบใดที่ยังใช้นโยบายนี้ ใครก็สามารถส่งอีเมลโดยใช้โดเมนของคุณในบรรทัด From และผู้รับได้รับคำสั่งให้ปล่อยอีเมลนั้นผ่าน
p=quarantine จะส่งอีเมลที่ไม่ผ่านไปยังสแปม ส่วน p=reject จะปฏิเสธอีเมลตั้งแต่รับเข้า Gmail และ Yahoo กำหนดให้ผู้ส่งอีเมลจำนวนมากต้องเผยแพร่ระเบียน DMARC ตั้งแต่เดือนกุมภาพันธ์ 2024 ระเบียนที่ใช้ p=none ถือว่าผ่านข้อกำหนดนี้ในทางเอกสาร แต่เครื่องมือตรวจสอบยังคงแสดงเป็นคำเตือน
สาเหตุที่รายงาน DMARC ไม่มาถึง
โดยค่าเริ่มต้น ที่อยู่ rua จะได้รับรายงานแบบรวมวันละครั้งจากผู้รับแต่ละรายที่พบอีเมลของคุณ หากที่อยู่อยู่ในโดเมนอื่นที่ไม่ใช่โดเมนของระเบียน RFC 7489 กำหนดให้โดเมนอื่นนั้นเผยแพร่ระเบียนอนุญาต ซึ่งระบุว่ายอมรับรายงานสำหรับโดเมนของคุณ เครื่องมือตรวจสอบจะค้นหาระเบียนดังกล่าวสำหรับที่อยู่ภายนอกทุกแห่ง หากไม่มีระเบียนนี้ ผู้รับจะทิ้งรายงาน
คำถาม
เพิ่มระเบียน DMARC อย่างไร
เผยแพร่ระเบียน TXT ที่ _dmarc ตามด้วยโดเมนของคุณ โดยระบุ v=DMARC1 และนโยบาย เช่น v=DMARC1; p=none; rua=mailto:dmarc@example.com เริ่มต้นด้วย p=none อ่านรายงานเป็นเวลาสองสามสัปดาห์ จากนั้นเปลี่ยนเป็น quarantine และภายหลังจึงเปลี่ยนเป็น reject ตรวจสอบระเบียนที่นี่หลังจาก DNS อัปเดตแล้ว
p=none ไม่ดีหรือไม่
ในขั้นแรก p=none ทำหน้าที่ของมันได้ดี โดยรวบรวมรายงานโดยไม่กระทบต่อการส่งอีเมล และช่วยให้พบว่าบริการใดกำลังส่งอีเมลให้คุณแต่ยังไม่ได้ยืนยันตัวตน อย่างไรก็ตาม หากยังใช้ต่อไปจะกลายเป็นปัญหา เพราะจุดประสงค์ของรายงานคือช่วยให้คุณเปลี่ยนนโยบายเป็น quarantine แล้วจึงเป็น reject
ต้องมีระเบียนแยกสำหรับแต่ละซับโดเมนหรือไม่
ซับโดเมนที่ไม่มีระเบียนของตัวเองจะใช้ระเบียนของโดเมนองค์กร และแท็ก sp ในระเบียนนั้นจะกำหนดนโยบายสำหรับซับโดเมน ดังนั้นโดยทั่วไป ระเบียนเดียวจึงครอบคลุมซับโดเมนทั้งหมด
ควรใช้ relaxed alignment หรือ strict alignment
ใช้ relaxed เว้นแต่จะมีเหตุผลที่ต้องใช้ strict เมื่อใช้ relaxed alignment ลายเซ็น DKIM จาก mail.example.com จะนับว่าตรงกันสำหรับที่อยู่ From ใน example.com ส่วน strict จะไม่ยอมรับกรณีนี้ และทำให้การตั้งค่าจำนวนมากที่ผู้ให้บริการลงลายเซ็นด้วยซับโดเมนใช้งานไม่ได้
"DMARC policy not enabled" หมายความว่าอย่างไร?
หมายความว่าระเบียน DMARC ของโดเมนระบุ p=none หรือโดเมนไม่มีระเบียน DMARC เลย เมื่อใช้ p=none ระบบรับอีเมลจะส่งอีเมลที่ไม่ผ่านการตรวจสอบตามปกติ และส่งเพียงรายงานไปยังที่อยู่ rua ดังนั้นจึงยังไม่มีการป้องกันไม่ให้ผู้อื่นส่งอีเมลโดยใช้โดเมนของคุณ
คู่มือฉบับเต็ม: DMARC policy not enabled
โดเมนมีระเบียน DMARC มากกว่าหนึ่งรายการได้หรือไม่?
ไม่ได้ เมื่อ _dmarc มีระเบียน TXT สองรายการที่ขึ้นต้นด้วย v=DMARC1 ระบบรับอีเมลจะทิ้งทั้งสองรายการและถือว่าโดเมนไม่มีระเบียน DMARC ให้เก็บไว้หนึ่งรายการ แล้วย้ายแท็กที่ต้องการจากอีกรายการมารวมไว้ในรายการนั้น
ควรกักกันหรือปฏิเสธ?
เริ่มจาก quarantine ก่อน ผู้รับจะถือว่าอีเมลที่ตรวจสอบไม่ผ่านน่าสงสัย และมักส่งไปยังโฟลเดอร์สแปม ดังนั้นหากพลาดบริการที่ถูกต้อง อีเมลจะไปอยู่ผิดโฟลเดอร์แทนที่จะสูญหาย เปลี่ยนเป็น reject เมื่อรายงานแสดงว่าไม่มีอีเมลของคุณตรวจสอบไม่ผ่านติดต่อกันเป็นเวลาหลายสัปดาห์