يمكن أن تعرض الرسالة اسم شركة مألوفًا أثناء استخدام عنوان بريد إلكتروني مختلف تمامًا. ويمكنه أيضًا إظهار عنوان شركتك بينما تقوم خدمة الإرسال بمصادقة المجال الخاص بها فقط. فهم DMARC يبدأ بفصل تلك الهويات.
يرمز DMARC إلى مصادقة الرسائل وإعداد التقارير والتوافق على أساس المجال. يقوم بتقييم الاستخدام المصادق عليه للمجال في عنوان الرسالة ويربط هذه النتيجة بالسياسة المنشورة لمالك المجال. وهو تقييم على مستوى المجال، وليس حكمًا على الشخص أو الطلب أو المرفق.
ابحث عن العنوان خلف اسم المرسل
لنفترض أن تطبيق البريد يعرض هذا المرسل الخيالي:
أمثلة على الحسابات < notices@shop.example.com >حسابات المثال هو اسم العرض. الإشعارات هي الجزء الذي يسبق علامة التوقيع. shop.example.com هو النطاق الموجود في العنوان "من"، ويسمى نطاق المؤلف في DMARC .
قد تعرض طريقة العرض المضغوطة لتطبيق البريد اسم العرض فقط. افتح تفاصيل المرسل أو الرسالة الأصلية للتعرف على العنوان الفعلي. الشعار والاسم وسطر الموضوع الذي يمكن التعرف عليه لا يؤسس علاقة المجال هذه.
تفترض الأمثلة الواردة في هذا الدليل رسالة عادية جيدة الصياغة ذات مجال مؤلف واحد. تتطلب حقول "من" المشوهة أو الغامضة معالجة تنسيق الرسالة الخاصة بها؛ لا تخترع هوية مفضلة واحدة من أي شيء يظهره تطبيق البريد.
احتفظ بالعناوين الأخرى في أدوارها المناسبة
يحتوي البريد الإلكتروني على محادثة تسليم SMTP بالإضافة إلى الرؤوس والنص الذي يقرأه الأشخاص. تدعم هوية إرجاع المغلف معالجة حالة التسليم وعادةً ما يتم تقييم الهوية بواسطة SPF للبريد العادي. يمكن أن تختلف عن من.
A توقيع DKIM يوفر مجالًا آخر بقيمته d=. يمكن أن تحتوي الرسالة على عدة توقيعات، لكل منها المجال والنتيجة الخاصة بها. يختلف الرد مرة أخرى: فهو يؤثر على مكان معالجة الرد، وليس على نطاق المؤلف الذي يقيمه DMARC .
| غرض | سؤال يساعد على الإجابة |
|---|---|
| من المجال | ما هو نطاق المؤلف المُطالب به والذي يتم تقييمه؟ |
| هوية المغلف | ما النطاق الذي يتم تقييمه للحصول على ترخيص نظام التعرف على هوية SPF العادي؟ |
| DKIM d= domain | ما المجال المرتبط بهذا التوقيع؟ |
| الرد على | أين يتم توجيه الرد؟ |
| اسم العرض | ما الاسم الذي يتم تقديمه للقارئ؟ |
يمكن أن تختلف هذه المجالات بشكل مشروع. وتتمثل المهمة في فهم علاقاتهم بدلاً من مطالبة كل عنوان معروض بأن يكون متطابقًا.
فهم العلاقة التي تسمى المحاذاة
يمكن أن يمر نظام التعرف على هوية المرسل SPF لنطاق مغلف خدمة الإرسال. يمكن لـ DKIM التحقق من التوقيع من مجال التوقيع الخاص بتلك الخدمة. ثم يسأل DMARC ما إذا كانت الهوية المصادق عليها تتماشى مع مجال المؤلف.
حازم تنسيق يتطلب تطابقًا تامًا مع المجال. تستخدم المحاذاة المريحة العلاقة التنظيمية بالمجال المعمول بها. لا تحدد هذه الحدود بمجرد أخذ التصنيفين الأخيرين، ولا تعامل علامتين تجاريتين متشابهتين كمجالات متوافقة.
بالنسبة لتمرير DMARC على مستوى الرسالة، يجب أن يتم تمرير مسار SPF أو DKIM مؤهل واحد على الأقل ومحاذاته. لا يمكن لتوقيع المرور من مجال غير ذي صلة توفير هذا المسار لمجرد أن الشركة تمتلك حسابًا في الخدمة.
اتبع رسالتين خياليتين
ما يلي هو مثال تعليمي تركيبي، وليس رسالة عميل تم التقاطها أو تنقيحها. افترض أنه تم العثور على سياسة DMARC المعمول بها وأن النتائج المعلنة تأتي من نظام استلام موثوق.
كلتا الرسالتين تحتويان على "من" في shop.example.com . وتختلف هوياتهم على النحو التالي:
| ملاحظة | الرسالة أ | الرسالة ب |
|---|---|---|
| SPF | قم بالتمرير إلى returns.example.net | قم بالتمرير إلى returns.example.net |
| DKIM | انتقل إلى d=shop.example.com | قم بالتمرير باستخدام d=dispatch.example.org |
| مسار المرور المحاذي | يطابق DKIM من تمامًا | لا تتم محاذاة أي هوية عابرة |
| التحقق من صحة DMARC | يمر | يفشل |
تحتوي الرسالة "أ" على مسار DKIM مطابق تمامًا. ولا يلزم إعادة تسمية هوية نظام التعرف على هوية SPF المنفصلة الخاصة بها حتى يتم تمرير نتيجة DMARC على مستوى الرسالة.
تقوم الرسالة B بمصادقة المجالات غير المرتبطة بالمجال الخاص بها. لذلك، لا ينتج عن تمريرتين أوليتين أي مسار محاذٍ. إذا كان هذا هو المرسل المعتمد الذي يحتاج إلى الإصلاح، فاتبع التعليمات دليل استكشاف أخطاء المحاذاة وإصلاحها. ويختلف هذا التحقيق عن تحديد أن كل رسالة بهذا النمط ضارة.
افصل النتيجة عما يفعله المتلقي
ينشر مالك النطاق سياسة DMARC في DNS تحت اسم _dmarc قابل للتطبيق. تعبر السياسة عن تقييم المالك لفشل الاستخدام. ولا يقوم بتكوين هوية توقيع التطبيق أو تحديد الإجراء النهائي لكل مستلم.
يقوم المستلمون أيضًا بتقييم المعلومات خارج DMARC . وبالتالي، فإن المرور لا يعد بوضع صندوق الوارد، ولا يؤدي الفشل إلى إنشاء هجوم محظور بشكل مستقل. ال دليل اختيار السياسة يشرح كيف يؤثر الاستخدام الفعلي للنطاق على قرار المالك.
يمكن أن يساعد إعداد التقارير المالك في التحقق من كيفية ظهور المجال الخاص به في البريد الذي تمت مراقبته. التقارير عبارة عن تعليقات من المستلمين المشاركين، وليست سجلاً كاملاً لكل رسالة مرسلة. احتفظ بالملاحظات المبلغ عنها منفصلة عن تفويض الأعمال ونتائج التسليم النهائية.
قراءة نتيجة ناجحة دون المبالغة في قراءتها
استخدم نتائج المصادقة التي تنتجها حدود الاستلام الموثوقة ذات الصلة. يمكن للمرسل إدراج رأس يطالب بالتمرير؛ ووجود ذلك النص لا يجعله جديرا بالثقة.
حتى التمريرة المحاذاة الحقيقية لها حدود. يمكن للحساب المعتمد المخترق إرسال بريد مصادق عليه. يمكن لمجال غير ذي صلة مصادقة رسائله الخاصة أثناء تقديم اسم عرض خادع. لا يقوم DMARC بفحص صحة الفاتورة أو الموافقة على تعليمات الدفع.
التفسير المفيد محدد: تحتوي هذه الرسالة المستلمة على مجال موثق عابر يفي بالعلاقة المطلوبة مع المجال الخاص بها. هذه إشارة هوية قيمة. احتفظ بحماية الحساب وتقييم المحتوى والتحقق المستقل من الطلبات الحساسة بجانبه.
للتنفيذ تابع إنشاء سجل DMARC والتحقق منه. للملكية عبر التطبيقات، استخدم مخزون المرسل. يصبح كلاهما أسهل بمجرد أن يصبح المجال الفعلي الذي يتم تقييمه واضحًا.
تتبع النتيجة في خمسة أسطر
استخدم ورقة العمل القصيرة هذه عندما يتم وصف الرسالة بأنها "تمت المصادقة عليها". ابدأ بالعنوان، وليس اسم الشركة المعروض بجانبه.
- من: اكتب المجال بعد @ في عنوان "من" الفعلي.
- الدليل: استخدام النتائج الموثوقة لنظام الاستقبال. سجل مجال SPF وكل مجال DKIM d= بشكل منفصل.
- العلاقة: قارن كل هوية عابرة مع من ضمن الوضع الصارم أو المريح المطبق. اسم حساب الموفر ليس مطابقًا للنطاق.
- النتيجة: مع وجود سياسة قابلة للتطبيق وعدم وجود خطأ DNS لم يتم حله، يكفي مسار تمرير واحد محاذٍ. إذا لم يكن هناك شيء، فستفشل الرسالة DMARC . عدم وجود سياسة مكتشفة يعني أن DMARC لا ينطبق؛ لا يعد خطأ استعلام DNS المطلوب مجرد نجاح أو فشل.
- المعنى: تسجيل نتيجة الهوية بشكل منفصل عن التسليم وما إذا كان الطلب آمنًا للتصرف بناءً عليه.
بالنسبة للرسالة "أ" أعلاه، يكون الشرح هو: "تم تمرير DKIM لـ shop.example.com ، والذي يتطابق تمامًا من؛ وهذا يوفر تصريح DMARC ." إنها ليست: "تمت الموافقة على الفاتورة".
تحقق من خطوات معالجة DMARC و Authentication-Results حدود الثقة لهذه الفروق.