A DMARC Das Ergebnis ist eine Diagnosekategorie und keine Anweisung zur Änderung der veröffentlichten Richtlinie. scheitern, keiner, temperror Und permerror deuten auf unterschiedliche Untersuchungen hin. Werden sie als austauschbar behandelt, kann der eigentliche Fehler ungelöst bleiben und der Schutz unnötig geschwächt werden.
Beginnen Sie mit den vertrauenswürdigen Beweisen des empfangenden Systems. Ein Header Authentication-Results zeichnet die Behauptung eines Systems auf; Ihr Vorhandensein allein beweist nicht, dass die Behauptung zuverlässig ist. Identifizieren Sie, welcher empfangende Dienst es generiert hat und welchen Headern dieser Dienst vertraut. Diese Grenze wird in erklärt RFC 8601 §1.2 Und RFC 8601 §7.1.
Lesen Sie gemeinsam die Methode und das Ergebnis
In einem Header mit spf=pass; dkim=pass; dmarc=failDie drei Ergebniswörter gehören zu unterschiedlichen Methoden. Der SPF Und DKIM Durchläufe können Domänen authentifizieren, die nicht mit der sichtbaren Von-Domäne übereinstimmen. Umgekehrt kann ein DMARC Durchlauf mit einem Fehler einer zugrunde liegenden Methode einhergehen, wenn ein anderer Durchgangspfad übereinstimmt.
Verwenden Sie die folgende Diagnosekarte. Die Ergebnisbedeutungen stammen aus RFC 9989 , Abschnitt 9.2; Die nächsten Maßnahmen sind operative Empfehlungen.
- Ergebnis:
dmarc=none; Interpretation: Für die Autorendomäne wurde keine anwendbare Richtlinie gefunden. Erste nützliche Aktion: Rekonstruieren Sie die Richtlinienerkennung für die tatsächliche Von-Domäne - Ergebnis:
dmarc=pass; Interpretation: Es existiert eine anwendbare Richtlinie und eine bestandene authentifizierte Identität stimmt überein. Erste sinnvolle Maßnahme: Identifizieren Sie den erfolgreichen Weg und untersuchen Sie etwaige separate Zustellungsprobleme - Ergebnis:
dmarc=fail; Interpretation: Es existiert eine anwendbare Richtlinie, aber es wurde keine passiv ausgerichtete Identität festgestellt. Erste nützliche Aktion: Vergleichen Sie SPF und jedes relevante DKIM Ergebnis mit From - Ergebnis:
dmarc=temperror; Interpretation: Bei der Auswertung ist ein scheinbar vorübergehender Fehler aufgetreten. Erste sinnvolle Aktion: Erfassen Sie den DNS oder Dienstfehler und vergleichen Sie einen späteren kontrollierten Versuch - Ergebnis:
dmarc=permerror; Interpretation: Bei der Auswertung ist ein Fehler aufgetreten, der sich durch einen bloßen Wiederholungsversuch wahrscheinlich nicht beheben lässt. Erste nützliche Maßnahme: Überprüfen Sie die genauen Richtliniendaten und die Empfängerdiagnose auf ein anhaltendes Konfigurationsproblem
Schließen Sie nicht allein aus dem Ergebniswort auf die Ursache. Ein vorübergehender DNS Fehler und eine fehlerhafte Richtlinie können beide eine normale Schlussfolgerung verhindern, erfordern jedoch unterschiedliche Eigentümer und unterschiedliche Korrekturmaßnahmen. Behalten Sie jeden Diagnosekommentar bei, anstatt die Beweise auf eine Dashboard-Farbe zu reduzieren.
Trennen Sie dmarc=none von p=none
dmarc=none ist ein gemeldetes Bewertungsergebnis. p=none ist ein Wert in einer veröffentlichten Richtlinie. Eine gültige Überwachungsrichtlinie kann immer noch zu beidem führen dmarc=pass oder dmarc=fail auf einzelne Nachrichten.
Betrachten Sie zwei synthetische Fälle. Im ersten, example.com veröffentlicht einen gültigen Überwachungsdatensatz und eine Nachricht weist eine ausgerichtete Weitergabe auf DKIM Signatur. Die erwartete DMARC -Bewertung ist bestanden, obwohl die Richtlinie „Nein“ sagt. Im zweiten Fall kann keine anwendbare Richtlinie für die Autorendomäne der Nachricht ermittelt werden. Der Empfänger kann sich melden dmarc=none; Daraus lässt sich kein überwachungspolitisches Versprechen ableiten.
Wenn ein Kollege sagt „ DMARC ist auf „Keine“ eingestellt“, fragen Sie, ob er die DNS Richtlinie, das Nachrichtenergebnis oder die endgültige Disposition meint. Nehmen Sie alle drei getrennt auf. Diese kurze Klärung verhindert oft eine DNS Änderung, die auf das falsche Problem abzielt.
Untersuchen Sie Fehler anhand der Identitäten
Erhalten Sie die ursprünglich empfangene Nachricht. Notieren Sie die sichtbare Von-Domäne, die SPF -Identität und das SPF-Ergebnis sowie die d= Domäne und Ergebnis für jede relevante DKIM Signatur. Wenden Sie das konfigurierte an Ausrichtung Modus zur Weitergabe von Identitäten. A Wähler ist ein Schlüssel-Locator, nicht die Domäne, die für DKIM Ausrichtung verwendet wird.
Wenn SPF für eine Anbieterdomäne gilt und DKIM für eine andere Anbieterdomäne gilt, stimmt möglicherweise keiner von beiden mit Ihrer Von-Domäne überein. Bearbeiten der Wurzel SPF Eintrag ist nicht automatisch die Lösung. Stellen Sie fest, welche Identität der Dienst tatsächlich auswertet und welche Authentifizierungsoptionen für die Kundendomäne er unterstützt. Der Leitfaden für Ausrichtungsfehler geht diesen Vergleich durch.
Untersuchen Sie Fehler, ohne zu raten
Für temperrorNotieren Sie die Nachrichtenzeit, den Empfänger, den abgefragten Namen, den Fehler und den Resolver-Kontext, falls verfügbar. Vergleichen Sie autorisierende DNS und rekursive Ergebnisse. Eine spätere erfolgreiche Suche unterstützt eine vorübergehende Erklärung, beweist jedoch nicht, was der Empfänger zuvor gesehen hat. Bitten Sie den empfangenden Betreiber um Protokolle, wenn diese Unterscheidung wichtig ist.
Für permerror, rufen Sie das komplette relevante ab TXT Eintrag Satz. Überprüfen Sie den Veröffentlichungsnamen, die Versionsplatzierung, doppelte Richtlinieneinträge und fehlerhafte Werte. Versprechen Sie nicht, dass jeder fehlerhafte Datensatz die gleiche Bezeichnung erzeugt: aktueller DMARC in RFC 9989 §4.10 Und RFC 9989 §4.10.1 Definiert spezifische Wiederherstellungs- und Standardverhalten für einige Syntax- und Richtlinienwertprobleme. Die Implementierungen können unterschiedlich sein. Passen Sie die Diagnose an die entsprechende Regel an, bevor Sie sie ändern.
Bewahren Sie eine Vorher-Nachher-Probe auf. Wenn der erneute Versuch erfolgreich ist, behalten Sie die genaue Reparatur und das erfolgreiche Ergebnis bei. Vermeiden Sie es, einen Vorfall zu schließen, nur weil ein öffentlicher Prüfer jetzt ein grünes Ergebnis liefert.
Halten Sie die Bewertung von der Lieferung getrennt
Unter RFC 9989 §5.4, kann ein Empfänger eine DMARC-fehlgeschlagene Nachricht gemäß seinen lokalen Verarbeitungsregeln übermitteln und eine weitergeleitete Nachricht aufgrund von Spam, Malware oder aus anderen Gründen blockieren. Erfassen Sie die SMTP Antwort oder die Zustellungsdisposition getrennt vom Authentifizierungsergebnis.
In Ihrer abschließenden Vorfallnotiz sollte angegeben sein, was von welchem vertrauenswürdigen Empfänger wann ausgewertet wurde, warum das Ergebnis aufgetreten ist und was sich geändert hat. Eine präzise Schlussfolgerung wie „Der Abrechnungsdienst erzeugt jetzt einen abgestimmten DKIM Durchlauf über seine Produktionsroute“ ist nützlicher als „ DMARC behoben“. Fahren Sie in Fällen fehlender Policen mit fort Kein DMARC Eintrag gefunden.
Treffen Sie die nächste Entscheidung explizit
Zeichnen Sie in der Überwachungsrichtlinie auf p=none, dmarc=pass und tatsächliche Disposition als drei separate Felder. Wenn eine gültige Richtlinie vorhanden ist, aber beide Passing-Mechanismus-Identitäten nicht übereinstimmen, ist die abgeschlossene Auswertung fehlgeschlagen. Wenn erforderliche DNS -Abfragen nicht abgeschlossen werden, RFC 9989 §5.3.6 verhindert eine normale Pass/Fail-Schlussfolgerung. Dabei handelt es sich um analytische Klassifizierungen, nicht um Empfängerprotokolle.