SPF, DKIM dhe DMARC të shpjeguara: pse refuzohet emaili

Tre mekanizma me përgjegjësi të ndryshme

SPF publikon cilat sisteme mund të dërgojnë për një domen dhe kontrollohet kundrejt domenit teknik Envelope-From. DKIM shton një nënshkrim kriptografik, çelësi publik i të cilit publikohet në DNS. DMARC e lidh autentikimin me domenin e dukshëm From dhe publikon një politikë të kërkuar për rastet e dështimit.

Një mesazh kalon DMARC kur të paktën njëri prej SPF ose DKIM përfundon me sukses dhe domeni i autentikuar përputhet me domenin e dukshëm të dërguesit. Përputhja pengon një sulmues të përdorë një dërgues të dukshëm pa lidhje vetëm sepse kontrollon një domen tjetër dërgues të autentikuar.

Lexoni këto regjistrime ilustruese DNS

Këto regjistrime për example.com ilustrojnë sintaksën dhe nuk janë konfigurim për t'u kopjuar verbërisht. Çelësi i shkurtuar DKIM nuk është një çelës funksional. Regjistrimet reale duhet të përputhen me shërbimet dhe çelësat e autorizuar për domenin.

• SPF: example.com. IN TXT "v=spf1 ip4:192.0.2.10 include:_spf.google.com ~all"
• DKIM: default._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."
• DMARC: _dmarc.example.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"
• p=none kërkon monitorim pa politikë karantine ose refuzimi të bazuar në DMARC; p=quarantine kërkon trajtim si i dyshimtë; p=reject kërkon refuzim.

Mos vendosni reject pa kontrolluar dërguesit

Një zbatim i kontrolluar zakonisht nis me p=none dhe një kuti postare për raportet. Raportet zbulojnë burime legjitime, sisteme buletinesh të harruara dhe abuzime. Korrigjoni burimet dhe konfigurimin DKIM, pastaj vendosni gradualisht quarantine ose reject, duke përfshirë një përqindje të kufizuar kur është e përshtatshme. Ashpërsoni politikën vetëm pasi trafiku legjitim të përputhet në mënyrë të besueshme.

Publikoni një regjistrim SPF për domen dhe respektoni kufirin e tij të kërkimeve DNS. Zinxhirët e gjatë include përbëjnë rrezik operacional. Përdorni çelësa DKIM me fortësi të mjaftueshme dhe planifikoni rotacionin. Nëndomenet, përcjellja dhe dërguesit e palëve të treta kërkojnë projektim të qëllimshëm, jo ndryshime të izoluara DNS. Regjistrimet e shumëfishta SPF, include të pasakta dhe mungesa e përputhjes janë dështime të zakonshme.

Autentikimi mbështet besimin, por nuk është filtër spam-i

SPF, DKIM dhe DMARC përmirësojnë bazën e besimit të marrësit. Autentikimi funksionon krahas modeleve të qëndrueshme të dërgimit, listave të mirëmbajtura dhe një niveli të ulët ankesash. Kalimi i kontrolleve nuk garanton mbërritjen në inbox, ndërsa konfigurimi i pasaktë mund të pengojë seriozisht emailin legjitim.

Monitoroni ndryshimet DNS, nënshkrimet DKIM dhe raportet DMARC. Një shërbim i ri dërgimi duhet të hyjë në përdorim real vetëm pasi të testohen domeni i dërguesit, Return-Path, DKIM dhe kthimet e mesazheve të padorëzuara. Një nënshkrim i pavlefshëm ose i munguar kërkon hetim sipas kontekstit, jo supozimin se çdo mesazh pa DKIM është ndryshuar patjetër.