An SPF pass kan være helt korrekt, mens du ikke gør noget for at autentificere den adresse, din kunde ser. Afsenderserveren kan være autoriseret til en leverandørs konvolutdomæne, mens den synlige Fra bruger dit virksomhedsdomæne. DMARC spørger, om en bestået godkendelsesidentitet stemmer overens med det forfatterdomæne.
Dette er et identitetsproblem, ikke nødvendigvis et manglende IP-problem. Start med domænerne i den faktisk modtagne besked, før du udvider SPF tilladelser.
Sammenlign tre separate observationer
Registrer det synlige Fra-domæne, det evaluerede domæne- SPF og domænet hver gang DKIM signatur'sd= felt. Registrer modtagerens resultat for hver mekanisme separat. Udled ikke justering fra en grøn SPF el DKIM badge, der skjuler det domæne, det evaluerede.
RFC 9989 afsnit 4.4.2 definerer SPF justering. Streng justering kræver, at SPF og forfatterdomænerne matcher nøjagtigt under RFC 9989 §3.2.10.2. Afslappet tilpasning bruger organisationsdomæneopdagelsen i RFC 9989 §4.10.2. Det tillader ikke et domæne, der ejes af en leverandør, som du har en kontrakt med.
Bearbejdet eksempel: en korrekt aflevering uden justering
Det følgende er en syntetisk diagnostisk armatur, der forudsætter en gældende DMARC politik. Der vises en meddelelse Fra: accounts@example.com . Dens MAIL FRA er delivery@vendor.example.net . Den tilsluttede IP er 192.0.2.17 . Sælgerens konvolutpolitik er v=spf1 ip4:192.0.2.17 -all, så SPF består.
Antag, at de organisatoriske domæner er example.com og example.net . De adskiller sig, så SPF stien justeres ikke i afslappet eller streng tilstand. Hvis DKIM også kun passerer med d=vendor.example.net, justeres ingen af de videregivende identiteter. DMARC mangler derfor en passerende tilpasset sti under RFC 9989 §5.3.5. Tilføjelse af denne IP til example.com 's SPF rekord ændrer ikke på det faktum, at denne transaktion brugte vendor.example.net .
Overvej nu en understøttet tilpasset konvolut af return@bounce.example.com . Hvis SPF passerer til bounce.example.com , og både it og example.com har det samme opdaget organisatorisk domæne, kan afslappet SPF justering passere. Streng tilpasning gør det stadig ikke, fordi navnene er forskellige. Alternativt kan en bestået DKIM signatur med d=example.com levere en tilpasset DKIM sti.
Vælg en understøttet rettelse
Spørg servicedokumentationen eller administratoren, om den understøtter et tilpasset MAIL FROM-domæne, tilpasset DKIM eller begge dele. Få de nøjagtige genererede DNS værdier fra tjenesten. En generisk SPF inkludering konfigurerer ikke en brugerdefineret konvolut i sig selv, og manuel fremstilling af udbyderens returadresse kan forstyrre afvisningshåndtering.
Vælg den rettelse, der passer til arbejdsgangen og din politik. En tilpasset DKIM implementering giver ofte nyttig modstandskraft gennem videresendelse, selvom ændringer af dækket indhold kan bryde signaturer under RFC 6376 §3.7. Hvis du bruger brugerdefineret MAIL FRA, skal du teste den faktiske konvolut, efter at opsætningen af udbyderrapporter er fuldført. Produkttilgængelighed og konfigurationstrin skal verificeres for det produkt og den konto, der er i brug.
Slap ikke justeringen af bare for at fjerne en advarsel uden at forstå den grænse, den skaber. Omvendt skal du ikke vælge streng justering som et sikkerhedsmærke, hvis legitime underdomæneafsendere med vilje var designet til afslappet justering. Dokumenter, hvorfor det valgte identitetsforhold er acceptabelt.
Test stien igen, ikke kun DNS
Send en repræsentativ besked til en postkasse, hvor du kan inspicere betroede modtagerresultater. Test underretningstypen, der mislykkedes, da en udbyders markedsførings- og transaktionsprodukter kan bruge forskellige identiteter. Optag den nye konvolut, SPF resultat, DKIM signeringsdomæne og DMARC resultat.
Hvis direct mail virker, men videresendt mail ikke gør, skal du undersøge denne rute separat. Kald ikke en mislykket DNS korrektion, blot fordi et ikke-relateret indholdsfilter stadig placerer meddelelsen i spam. Godkendelsesresultater og postkasseplacering er forskellige resultater.
Den praktiske takeaway
En nyttig diagnose navngiver det passerende domæne og viser, hvorfor det stemmer eller ikke stemmer overens. Reparer den understøttede afsenderidentitet, og bekræft derefter en rigtig besked. Bredere SPF tilladelser på det forkerte domæne kan ikke lukke et justeringskløft.
Hold beslutningen reproducerbar
Brug én række pr. passerende identitet og dens justeringstilstand. Med kun vendor.example.net der passerer for From= example.com , skal du markere begge råpas som ikke-justerede i stedet for at forbinde et resultat med et andet domæne. Hvis d=example.com også bekræfter, skal du registrere den separate justerede DKIM sti. Test tilpasset MAIL FROM-adfærd uafhængigt, selvom den samlede DMARC allerede består.