SPF, DKIM और DMARC समझें: ईमेल अस्वीकार क्यों होते हैं

अलग-अलग ज़िम्मेदारियों वाले तीन तंत्र

SPF प्रकाशित करता है कि कौन-से सिस्टम किसी डोमेन की ओर से मेल भेज सकते हैं और उसकी जाँच तकनीकी Envelope-From डोमेन के विरुद्ध होती है। DKIM एक क्रिप्टोग्राफ़िक हस्ताक्षर जोड़ता है जिसकी सार्वजनिक कुंजी DNS में प्रकाशित होती है। DMARC प्रमाणीकरण को दिखाई देने वाले From डोमेन से जोड़ता है और विफलता के लिए अनुरोधित नीति प्रकाशित करता है।

संदेश DMARC में सफल तब होता है जब SPF या DKIM में से कम-से-कम एक सफल हो और उसका प्रमाणित डोमेन दिखाई देने वाले प्रेषक डोमेन से मेल खाए। यह मेल हमलावर को केवल किसी दूसरे प्रमाणित प्रेषक डोमेन पर नियंत्रण होने के कारण असंबंधित दिखाई देने वाला प्रेषक इस्तेमाल करने से रोकता है।

इन उदाहरण DNS रिकॉर्ड को समझें

ये example.com रिकॉर्ड सिंटैक्स समझाते हैं; इन्हें बिना सोचे कॉपी करने के लिए नहीं दिया गया है। संक्षिप्त की गई DKIM कुंजी काम करने वाली कुंजी नहीं है। वास्तविक रिकॉर्ड डोमेन की अधिकृत सेवाओं और कुंजियों से मेल खाने चाहिए।

• SPF: example.com. IN TXT "v=spf1 ip4:192.0.2.10 include:_spf.google.com ~all"
• DKIM: default._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."
• DMARC: _dmarc.example.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"
• p=none DMARC के आधार पर क्वारंटीन या अस्वीकृति नीति लगाए बिना निगरानी का अनुरोध करता है; p=quarantine संदिग्ध रूप में संभालने का और p=reject अस्वीकार करने का अनुरोध करता है।

प्रेषकों की जाँच किए बिना reject लागू न करें

नियंत्रित शुरुआत सामान्यतः p=none और रिपोर्ट पाने वाले मेलबॉक्स से होती है। रिपोर्ट वैध स्रोत, भूले हुए न्यूज़लेटर सिस्टम और दुरुपयोग दिखाती हैं। स्रोत और DKIM सेटअप ठीक करें, फिर धीरे-धीरे quarantine या reject लागू करें; जहाँ उचित हो, पहले सीमित प्रतिशत पर करें। केवल तब सख़्ती बढ़ाएँ जब वैध ट्रैफ़िक का डोमेन विश्वसनीय रूप से मेल खाता हो।

प्रत्येक डोमेन के लिए एक SPF रिकॉर्ड प्रकाशित करें और उसकी DNS लुकअप सीमा का पालन करें। लंबी include श्रृंखलाएँ संचालन का जोखिम हैं। पर्याप्त मज़बूत DKIM कुंजियाँ इस्तेमाल करें और उन्हें बदलने की योजना रखें। उपडोमेन, फ़ॉरवर्डिंग और तीसरे पक्ष के प्रेषकों के लिए अलग-अलग DNS बदलावों के बजाय सुविचारित डिज़ाइन चाहिए। कई SPF रिकॉर्ड, गलत include और डोमेन का मेल न होना सामान्य विफलताएँ हैं।

प्रमाणीकरण भरोसे में सहायक है, लेकिन स्पैम फ़िल्टर नहीं है

SPF, DKIM और DMARC प्राप्तकर्ता के भरोसे का आधार बेहतर करते हैं। प्रमाणीकरण नियमित भेजने के व्यवहार, व्यवस्थित सूचियों और कम शिकायत दर के साथ काम करता है। जाँच में सफल होना इनबॉक्स में पहुँचने की गारंटी नहीं देता, जबकि गलत सेटअप वैध मेल को गंभीर रूप से बाधित कर सकता है।

DNS बदलाव, DKIM हस्ताक्षर और DMARC रिपोर्ट की निगरानी करें। नई भेजने वाली सेवा को प्रोडक्शन में लाने से पहले प्रेषक डोमेन, Return-Path, DKIM और वापस लौटे संदेश जाँचें। अमान्य या गायब हस्ताक्षर की संदर्भ सहित जाँच आवश्यक है; यह न मानें कि DKIM रहित हर संदेश में अनिवार्य रूप से बदलाव किया गया है।