لإعداد DMARC بأمان، انشر سجل المراقبة أولاً، واستخدم تقاريره لمصادقة كل مصدر إرسال شرعي، ثم قم برفع السياسة على مراحل من لا شيء إلى العزل إلى الرفض. الأمر مهم: سيؤدي التنفيذ قبل مرور المصادر إلى حظر البريد الحقيقي. عند القيام بذلك بالتسلسل، يمكنك الوصول إلى الحماية الكاملة دون تعطيل عملية التسليم.
قبل أن تبدأ
يعتمد DMARC على نظام التعرف على SPF و DKIM ، لذا تأكد من وجودهما أولاً. يسرد SPF ( RFC 7208 ) عناوين IP والخدمات المسموح بإرسالها لنطاقك في سجل TXT . يضيف DKIM توقيعًا مشفرًا منشورًا كمفتاح عام في DNS . أنت بحاجة إلى تمرير واحد منهم على الأقل ومحاذاة DMARC لتمريره، ويفضل أن يكون كليهما معًا. لاحظ أيضًا حد بحث DNS SPF 10: يفشل سجل SPF الذي يقوم بتشغيل أكثر من عشر عمليات بحث DNS ، مما يؤدي بعد ذلك إلى كسر محاذاة DMARC .
خطوة بخطوة
- 1
1. نشر سجل المراقبة
أضف سجل TXT في _dmarc باستخدام v=DMARC1; p=none; rua=mailto:rua@example.com. يؤدي هذا إلى جمع البيانات دون التأثير على التسليم.
- 2
2. جمع التقارير
انتظر من أسبوعين إلى أربعة أسابيع واقرأ التقارير المجمعة ( RUA ) لرؤية كل مصدر يُرسل كمجالك.
- 3
3. التحقق من كل مصدر
لكل مرسل شرعي، قم بإعداد SPF و DKIM بحيث يمر ويتوافق مع المجال الخاص بك.
- 4
4. الانتقال إلى الحجر الصحي
عندما يمر البريد الشرعي باستمرار، قم بتعيين p=quarantine, واختياريًا باستخدام pct للزيادة تدريجيًا.
- 5
5. التحرك للرفض
بمجرد أن يُظهر العزل عدم وجود فشل في البريد الشرعي، قم بتعيين p=reject للحماية الكاملة.
- 6
6. استمر في المراقبة
استمر في قراءة التقارير حتى يتم اكتشاف الخدمات الجديدة وأي إساءة استخدام مبكرًا.
مسار الطرح
v=DMARC1; p=none then p=quarantine; pct=50 then p=reject; pct=100
التعامل مع حد البحث SPF
تتجاوز العديد من المؤسسات حد بحث DNS SPF 10) عند إضافة خدمات سحابية، مما يؤدي إلى كسر نظام التعرف على SPF وتقويض DMARC بصمت. يؤدي تسطيح نظام التعرف على SPF إلى حل الآليات المضمنة وتحويلها إلى عناوين IP مباشرة بحيث تظل أقل من الحد الأقصى. يقوم SmartSPF الخاص بـ EmailAuth بتسوية سجل SPF الخاص بك تلقائيًا ويبقيه محدثًا عندما يقوم البائعون بتغيير عناوين IP الخاصة بهم.
المزالق الشائعة
- الانتقال إلى p=reject قبل مصادقة المصادر، مما يؤدي إلى حظر البريد الحقيقي.
- نسيان النطاقات الفرعية: قم بتعيين سياسة sp وإلا فقد تُترك دون حماية.
- نشر سجلي DMARC ، مما يؤدي إلى إبطال DMARC تمامًا.
- تجاهل حد البحث عن SPF 10، الذي يكسر محاذاة SPF و DMARC .
- فرض التقارير ثم عدم التحقق منها مرة أخرى مطلقًا، حتى لا يتم ملاحظة المرسلين الجدد.
جعل الإدارة المستمرة أسهل
يمكن لـ EmailAuth استضافة سجلات DMARC و SPF و DKIM و BIMI من خلال تفويض CNAME ، بحيث يمكنك توجيه DNS مرة واحدة وإدارة تغييرات السياسة في لوحة المعلومات بدلاً من تحرير DNS بشكل متكرر. يقوم بتوزيع RUA و RUF لك ويحدد المصادر التي لا تزال بحاجة إلى العمل. لمعرفة نقطة البداية، قم بإجراء فحص مجاني للنطاق، ثم اتبع المسار المرحلي أعلاه للوصول إلى p=reject.
الأسئلة المتداولة
كيف أقوم بإعداد DMARC دون تعطيل البريد الإلكتروني؟
ابدأ بـ p=none, الذي يراقب دون التأثير على التسليم. استخدم التقارير المجمعة لمصادقة كل مرسل شرعي باستخدام نظام التعرف على هوية المرسل SPF و DKIM ، ثم انتقل إلى العزل وأخيرًا قم بالرفض. يعني النهج المرحلي أنك لا تنفذ أبدًا حتى يتم تأكيد تصاريح البريد الحقيقية.
كم من الوقت يجب أن أبقى في p=none?
مدة كافية لرؤية الصورة الكاملة لمصادر الإرسال الخاصة بك، وعادة ما تتراوح من أسبوعين إلى أربعة أسابيع بالنسبة لمعظم المؤسسات. إذا كنت ترسل عبر العديد من الخدمات أو كان لديك مرسلين موسميين، فانتظر لفترة أطول. لا يمكنك المضي قدمًا إلا عندما تعرض تقاريرك تمرير جميع رسائل البريد المشروعة ومحاذاتها.
ما هو حد البحث عن DNS SPF 10؟
يقتصر تقييم نظام التعرف SPF على عشر عمليات بحث DNS . إذا أدى تضمين السجل الخاص بك والآليات الأخرى إلى تشغيل أكثر من عشرة، فسيقوم نظام التعرف على هوية SPF بإرجاع permerror ويفشل، مما يؤدي إلى انقطاع محاذاة DMARC . إن تسوية سجل SPF إلى عناوين IP مباشرة، على سبيل المثال باستخدام EmailAuth SmartSPF ، يبقيك تحت الحد الأقصى.
هل أحتاج إلى سجل DMARC منفصل للنطاقات الفرعية؟
ليس بالضرورة. ترث النطاقات الفرعية سياسة المجال التنظيمي ما لم تقم بتعيين علامة sp أو نشر سجل مخصص على _dmarc.subdomain. استخدم sp لتطبيق سياسة مختلفة على النطاقات الفرعية، وحماية النطاقات الفرعية غير المستخدمة بشكل صريح حتى لا يتم انتحالها.
[ DMARC مرشد ]
مصدر المؤسسة
لماذا كبار المؤسسات المالية والحكومات تقاعدوا من لوحات معلومات أمان البريد الإلكتروني الخاصة بهم.
تبيع لك منصات مصادقة البريد الإلكتروني التقليدية لوحة تحكم وتطلب من مهندسيك القيام بهذا العمل. في البيئات عالية المخاطر، تعني المراقبة اليدوية تأخير التنفيذ، والانحراف في التكوين، ونطاقات الظل غير الخاضعة للمراقبة.
EmailAuth هي منصة مصدر البريد الإلكتروني الوكيل. وكلاؤنا ينفذون p=reject، حافظ على محاذاة المرسلين الخارجيين وانقل نطاقاتك إلى كاملها RFC 9989 الامتثال، وهو معيار DMARC الجديد، مع إمكانية التدقيق البشري في الحلقة.
SaaS · إيجار مخصص · Air-gapped محليًا · تشفير BYOK