Eine Nachricht kann weitergegeben werden DMARC und dennoch die Absenderanforderungen eines Postfachanbieters nicht erfüllen. Das ist nicht unbedingt ein Widerspruch. DMARC beantwortet eine spezifische Identitätsfrage; Ein Empfänger benötigt möglicherweise auch funktionierende Mechanismen, einen sicheren Transport, einen geeigneten Nachrichtenaufbau und ein verantwortungsvolles Sendeverhalten.
Beginnen Sie mit der Protokollentscheidung
Referenzen: RFC 9989 §4.1, RFC 9989 §4.4, RFC 9989 §4.10, RFC 9989 §5.3.5.
RFC 9989, veröffentlicht im Mai 2026, ersetzt die alten RFCs 7489 und 9091. Gemäß Abschnitt 4.1 besteht DMARC , wenn ein Richtlinieneintrag für die Autorendomäne vorhanden ist und diese Domäne mit einer authentifizierten Kennung aus der Nachricht übereinstimmt. Das Alignment-Pass-Prinzip bleibt bestehen: Mindestens ein unterstützter Authentifizierungsmechanismus muss mit bestanden werden Ausrichtung zur sichtbaren Von-Domäne. Für SPF Innerhalb von DMARC ist die relevante Identität das SMTP POST VON Domain gemäß RFC 9989 §4.4.2; Ein eigenständiges HELO-basiertes SPF Ergebnis ist kein Ersatz für diese DMARC Identität. Für DKIM, es ist die d=-Domäne einer gültigen Signatur. Ein erfolgreicher Mechanismus ohne die erforderliche Ausrichtung trägt nicht zu einem DMARC Bestanden bei. RFC 9989 Abschnitte 3.2.10 und 4.1–4.3.
Die Ausrichtung verfügt über strenge und entspannte Modi. Strict vergleicht die zutreffenden Domänen genau; entspannt nutzt ihre Beziehung zur Organisationsdomäne. RFC 9989 Abschnitt 4.10 definiert DNS Tree Walk Discovery anstelle des herkömmlichen Ansatzes mit öffentlichen Suffixlisten. Überprüfen Sie die implementierte Version des Empfängers oder Evaluators, bevor Sie dessen Erkennungsverhalten annehmen. Implementieren Sie keine entspannte Ausrichtung, indem Sie prüfen, ob eine Domänenzeichenfolge lediglich mit einer anderen endet. Ein irreführendes Suffix oder eine falsche Berechnung des Organisationsbereichs kann zu einem falschen Ergebnis führen.
Fügen Sie die Anbieteranforderungen als separate Ebene hinzu
Die Microsoft-Richtlinien für den High-Volume-Support für Endverbraucher erfordern die Zulassung SPF und DKIM sowie von DMARC . Die Massenanforderungen von Yahoo erfordern beide Mechanismen und das Bestehen DMARC . Dabei handelt es sich um operative Gatter zusätzlich zur Entweder-Alignment-Mechanismus-Logik des Protokolls. Überprüfen Sie die aktuelle Quelle für das Ziel, anstatt eine universelle Regel von einem Anbieter abzuleiten. Microsoft-Unterstützung Und Yahoo -Anforderungen.
Erstellen Sie eine Spalte für das DMARC -Ergebnis und separate Spalten für erforderliche Authentifizierung, DNS , Transport, Formatierung und Abmeldekontrollen. Ein insgesamt grüner Indikator ohne diese Spalten macht es schwierig zu erkennen, ob die Software das Protokoll, eine Anbieter-Checkliste oder nur die veröffentlichte DNS Syntax auswertet.
Verwenden Sie eine Wahrheitstabelle, um den Unterschied aufzudecken
Referenzen: RFC 9989 §5.3.5.
Das private Testpaket beinhaltet eine Kunststoffhalterung mit zwei Gehäusen. Erstens bestehen sowohl SPF als auch DKIM , aber keines von beiden stimmt überein: DMARC schlägt fehl. Zweitens schlägt SPF fehl, während DKIM bestanden und ausgerichtet wird: DMARC besteht. Im zweiten Fall kann ein Anbieter-Gate, das unabhängig SPF Erfolg erfordert, immer noch scheitern.
Bei diesen Eingaben handelt es sich bewusst um einfache boolesche Werte und nicht um eine Implementierung der DNS Tree Walk-Erkennung, der herkömmlichen Erkennung auf Basis öffentlicher Suffixe, SPF -Bewertung oder DKIM Kryptografie. In beiden Fällen wird davon ausgegangen, dass ein anwendbarer DMARC Richtliniendatensatz vorhanden ist. Sie machen die logische Unterscheidung reproduzierbar, ohne den Anspruch zu erheben, einen Anbieter zu testen. Ersetzen Sie in einer echten Untersuchung jeden booleschen Wert durch ein vertrauenswürdiges beobachtetes Ergebnis und seine ausgewertete Identität.
Verwechseln Sie Veröffentlichung nicht mit Bewertung
Referenzen: RFC 9989 §5.4.
Veröffentlichung p=none richtet eine angeforderte Überwachungsrichtlinie ein, nicht ein erfolgreiches Nachrichtenauthentifizierungsergebnis. Durch die Veröffentlichung eines öffentlichen DKIM Schlüssels werden ausgehende E-Mails nicht signiert. Hinzufügen eines SPF Eintrag beweist nicht, dass die tatsächliche Verbindung eine autorisierte Adresse verwendet hat. Jedes Konfigurationsartefakt benötigt eine entsprechende Beobachtung von der vorgesehenen Senderoute.
Ebenso der Übergang von p=none zu p=reject repariert die Ausrichtung nicht. Es ändert die vom Domaininhaber angeforderte Behandlung von Fehlern. Inventarisieren Sie legitime Routen, bevor Sie die Durchsetzung ändern, bewahren Sie einen Rollback-Plan auf und bewerten Sie die Auswirkungen auf indirekte Flüsse. Der Empfänger wendet weiterhin seine eigene lokale Dispositionsrichtlinie an; Eine angeforderte DMARC Aktion ist keine Liefergarantie.
Erstellen Sie einen nützlichen Abschlussdatensatz
Referenzen: RFC 8601 §5.
Behalten Sie für jede untersuchte Probe den Absender, den Absender des Umschlags, die Verbindungs-IP, DKIM Unterzeichner usw. bei Wähler, Mechanismusergebnisse, Ausrichtungsmodus und endgültige Empfangsantwort. Identifizieren Sie die vertrauenswürdige Quelle dieser Ergebnisse. Akzeptieren Sie keine willkürlich kopierten Header als maßgeblich, nur weil sie das Wort „pass“ enthalten.
Schließen Sie die Protokollfeststellung und die Anbieterkonformitätsfeststellung separat ab. Dies ermöglicht es, genau zu sagen, dass DMARC bestanden wurde, während eine andere Anforderung ungelöst blieb, und die Korrektur dem richtigen Eigentümer zuzuweisen, ohne unabhängige Kontrollen zu schwächen.