Amazon SES -meddelelser kan godkendes med succes, mens de bruger identiteter, der ikke stemmer overens med det domæne, der vises i Fra. EN DMARC opsætningen har derfor brug for SES-identitetskonfigurationen og den faktiske applikations modtagne beskedresultater.
Brug den korrekte AWS-konto, region og identitet. Få genererede værdier fra den konfiguration i stedet for at kopiere en anden kontos vælger mål eller antager, at en opsætning et andet sted dækker den aktuelle afsenderrute.
Etabler identitet og underskriftsmodel
Registrer det synlige Fra-domæne, applikationen og den SES-konfiguration, den bruger. Bekræft om DKIM leveres gennem Easy DKIM , et medbring-din-egen-nøgle-arrangement eller en anden understøttet identitetskonfiguration.
Før du ændrer en fungerende opsætning, skal du gemme dens nuværende tilstand og kontrollere, hvem der ejer DNS og signere ændringer. En ny guide er ikke en grund til at regenerere en fungerende identitet blindt.
Domænebekræftelse og DKIM -signeringstilstand bør begge kontrolleres i den faktiske tjeneste. En offentlig nøgle eller delegation alene beviser ikke, at applikationen sender med den tilsigtede videregående signatur.
Konfigurer DKIM fra den valgte identitet
For en verificeret domæneidentitet ved hjælp af Easy DKIM dokumenterer AWS identitetens godkendelsesindstillinger, Easy DKIM valg og signeringsaktivering. Det genererer DNS -bekræftelseskonfigurationen, der skal udfyldes med DNS udbyderen.
Brug det fulde leverede rekordsæt og bekræft dets autoritative svar. Bekræft den resulterende tjenestestatus, og send derefter en repræsentativ ansøgningsmeddelelse til en uafhængig modtager.
AWS's Easy DKIM vejledning dokumenterer også en migreringsrisiko ved flytning fra BYODKIM til Easy DKIM : meddelelser kan være usignerede, mens den nye konfiguration afventer. Følg dens understøttede migrationsvejledning og planlæg for kritisk trafik i stedet for at antage, at switchen er problemfri.
Undersøg MAIL FROM-domænet separat
SES bruger et amazonses.com -underdomæne som standard MAIL FRA identitet. En forbigang SPF resultat for denne identitet fastslår ikke i sig selv justering med dit eget synlige Fra-domæne.
En afstemt aflevering DKIM signatur kan give DMARC passeringsstien. En understøttet brugerdefineret MAIL FROM-opsætning kan også etablere en SPF -identitet under et passende domæneforhold.
Vælg et dedikeret underdomæne under det overordnede domæne for en verificeret SES-identitet. AWS siger, at det ikke må bruges til andre formål, herunder almindelig afsendelse eller modtagelse af post. Det brugerdefinerede MAIL FROM-navn kræver præcis ét MX record; flere MX poster får SES-opsætningen til at mislykkes. Følge AWS's tilpassede MAIL FRA-krav og brug den valgte identitets genererede MX og SPF værdier. Denne modtagefunktion understøtter afvisnings- og reklamationshåndtering; forveksle det ikke med flytning af organisationens normale postkasse- MX poster.
Vælg MX-fejladfærd med vilje
AWS dokumenterer to brugerdefinerede MAIL FROM-fejladfærd. Tjenesten kan falde tilbage til sit standard MAIL FROM-domæne eller afvise afsendelsen, når det brugerdefinerede domænes påkrævede MX konfiguration ikke er bekræftet.
Fallback kan ændre SPF identiteten og dens tilpasningsforhold. Det betyder ikke nødvendigvis, at DMARC fejler, fordi en tilpasset forbipasserende DKIM sti kan forblive.
I et syntetisk tilfælde har en faktureringsmeddelelse From at example.com og tilpasset passerende DKIM , men dens tilpassede MAIL FROM mislykkes validering, og den tilladte fallback bruger SES-domænet. Forventningen til SPF-tilpasning er ændret, mens DKIM stadig kan give vejen.
Dokumenter den valgte adfærd og dens implikationer for kritisk applikationsmail. Lad ikke denne beslutning være en uforklarlig standard.
For en verificeret domæneidentitet dokumenterer AWS denne konsolsekvens:
- Åbn SES i den tilsigtede region, vælg Konfiguration → Identiteter, og vælg derefter det verificerede domæne.
- I Custom MAIL FROM domæne skal du vælge Rediger. Aktiver Brug et tilpasset MAIL FRA-domæne, indtast det dedikerede underdomæne, og vælg Behavior on MX fejl.
- Gem ændringer, og kopier derefter MX og SPF TXT værdierne fra Udgiv DNS poster til den autoritative DNS udbyder. Behold ikke-relaterede postkasse MX poster uændrede.
Tjek den resulterende tilpassede MAIL FRA-status i SES, de autoritative DNS svar og en modtaget ansøgningsmeddelelse som separat bevis. De AWS procedure er referencen, hvis konsollabels ændres; denne sekvens er ikke en påstand om, at disse trin er blevet udført.
Udgiv den tilsigtede DMARC -politik
Vurder den eksisterende politik, rapporteringsdestination og domænets legitime afsenderpopulation. Bevar en eksisterende stærkere godkendt politik, mens du undersøger et separat SES-konfigurationsproblem.
Bruge rekordens arbejdsgang til offentliggørelse og indsamlingskontrol. Valg af politik bør passe til domænets faktiske brug og aktuelle interoperabilitetsvejledning snarere end en universel instruktion om at offentliggøre afvisning.
Bekræft den endelige ansøgningsrute
Send fra den applikation, som brugerne er afhængige af, ikke kun en konsol eller et isoleret testværktøj. Undersøg den originale meddelelse hos modtageren og behold From, det SPF-evaluerede domæne, alle relevante DKIM signaturer og betroede DMARC resultater.
Gentag for materiale Regioner, identiteter eller ruter, der faktisk er i brug. Hvis en udgående mellemmand ændrer meddelelsen, skal du kontrollere resultatet efter den rute. Behold udbyderstatus, DNS observationer og modtagne meddelelsesbeviser som separate acceptregistreringer.
Overvåg efterfølgende fejl og ændringer i brugerdefineret MAIL FROM-konfiguration. Det nyttige resultat er en understøttet, ejet SES-senderute med verificeret justering og forstået fejladfærd.