In einer Nachricht kann ein bekannter Firmenname angezeigt werden, während eine völlig andere E-Mail-Adresse verwendet wird. Es kann auch die Adresse Ihres Unternehmens anzeigen, während der sendende Dienst nur seine eigene Domäne authentifiziert. Verständnis DMARC beginnt mit der Trennung dieser Identitäten.
DMARC steht für Domain-based Message Authentication, Reporting, and Conformance. Es wertet die authentifizierte Nutzung der Domäne in der Absenderadresse der Nachricht aus und verknüpft dieses Ergebnis mit der veröffentlichten Richtlinie des Domänenbesitzers. Es handelt sich um eine Beurteilung auf Domänenebene, nicht um ein Urteil über die Person, die Anfrage oder den Anhang.
Finden Sie die Adresse hinter dem Absendernamen
Angenommen, eine E-Mail-Anwendung zeigt diesen fiktiven Absender an:
Beispielkonten < notices@shop.example.com >Beispielkonten ist der Anzeigename. „Notices“ ist der Teil vor dem At-Zeichen. shop.example.com ist die Domäne in der Absenderadresse, die in DMARC als Autorendomäne bezeichnet wird.
In der Kompaktansicht der E-Mail-Anwendung wird möglicherweise nur der Anzeigename angezeigt. Öffnen Sie die Absenderdetails oder die Originalnachricht, um die tatsächliche Adresse zu ermitteln. Ein Logo, ein Name und eine erkennbare Betreffzeile begründen diese Domain-Beziehung nicht.
Die Beispiele in diesem Leitfaden gehen von einer gewöhnlichen, wohlgeformten Nachricht mit einer Autorendomäne aus. Fehlerhafte oder mehrdeutige Von-Felder erfordern eine eigene Nachrichtenformatbehandlung. Erfinden Sie keine bevorzugte Identität aus dem, was eine E-Mail-Anwendung gerade anzeigt.
Behalten Sie die anderen Adressen in ihren richtigen Rollen bei
Eine E-Mail enthält eine SMTP Zustellungskonversation sowie die Kopfzeilen und den Nachrichtentext, die von den Leuten gelesen werden. Die Rücksendeidentität des Umschlags unterstützt die Handhabung des Zustellungsstatus und ist normalerweise die Identität, die von ausgewertet wird SPF für normale Post. Es kann von „Von“ abweichen.
A DKIM Signatur liefert in seinem d=-Wert eine weitere Domäne. Eine Nachricht kann mehrere Signaturen haben, jede mit ihrer eigenen Domäne und ihrem eigenen Ergebnis. Reply-To ist wiederum anders: Es beeinflusst, wohin eine Antwort adressiert wird, nicht welche Autorendomäne DMARC auswertet.
| Artikel | Die Frage hilft bei der Beantwortung |
|---|---|
| Von der Domäne | Welche beanspruchte Autorendomäne wird bewertet? |
| Umschlagidentität | Welche Domain wird für die normale SPF Autorisierung geprüft? |
| DKIM d= domain | Welche Domain ist mit dieser Signatur verknüpft? |
| Antwort an | Wohin richtet sich eine Antwort? |
| Anzeigename | Welcher Name wird dem Leser präsentiert? |
Diese Felder können durchaus unterschiedlich sein. Die Aufgabe besteht darin, ihre Beziehungen zu verstehen, anstatt zu verlangen, dass jede angezeigte Adresse identisch ist.
Verstehen Sie die Beziehung, die als Ausrichtung bezeichnet wird
SPF kann als Umschlagdomäne eines sendenden Dienstes gelten. DKIM kann eine Signatur von der Signaturdomäne dieses Dienstes überprüfen. DMARC fragt dann, ob eine übergebene authentifizierte Identität mit der Autorendomäne übereinstimmt.
Strikt Ausrichtung erfordert eine genaue Domänenübereinstimmung. Bei der entspannten Ausrichtung wird die entsprechende Beziehung zwischen Organisation und Domäne verwendet. Bestimmen Sie diese Grenze nicht, indem Sie einfach die letzten beiden Bezeichnungen verwenden, und behandeln Sie zwei ähnlich aussehende Marken nicht als übereinstimmende Domänen.
Für einen DMARC -Durchlauf auf Nachrichtenebene muss mindestens ein qualifizierender SPF oder DKIM Pfad sowohl bestanden als auch ausgerichtet sein. Eine Passsignatur von einer nicht verwandten Domäne kann diesen Pfad nicht bereitstellen, nur weil das Unternehmen ein Konto bei dem Dienst besitzt.
Folgen Sie zwei fiktiven Nachrichten
Das Folgende ist ein synthetisches Lehrbeispiel, keine erfasste oder redigierte Kundennachricht. Gehen Sie davon aus, dass die anwendbare DMARC Richtlinie gefunden wird und die angegebenen Ergebnisse von einem vertrauenswürdigen Empfangssystem stammen.
Beide Nachrichten haben From at shop.example.com . Ihre Identitäten unterscheiden sich wie folgt:
| Beobachtung | Nachricht A | Nachricht B |
|---|---|---|
| SPF | Passen Sie für returns.example.net an | Passen Sie für returns.example.net an |
| DKIM | Übergeben Sie mit d=shop.example.com | Bestehen Sie mit d=dispatch.example.org |
| Ausgerichteter Überholweg | DKIM stimmt genau mit From überein | Keine der beiden vorübergehenden Identitäten stimmt überein |
| DMARC -Validierung | Passieren | Scheitern |
Nachricht A hat einen genau passenden DKIM Pfad. Die separate SPF Identität muss nicht umbenannt werden, damit das DMARC -Ergebnis auf Nachrichtenebene übergeben wird.
Nachricht B authentifiziert Domänen, die nichts mit ihrer Absenderdomäne zu tun haben. Zwei Rohdurchgänge erzeugen daher keinen ausgerichteten Pfad. Wenn es sich um einen autorisierten Absender handelt, der repariert werden muss, befolgen Sie die Anweisungen Anleitung zur Fehlerbehebung bei der Ausrichtung. Diese Untersuchung unterscheidet sich von der Entscheidung, dass jede Nachricht mit diesem Muster bösartig ist.
Trennen Sie das Ergebnis von dem, was der Empfänger tut
Ein Domänenbesitzer veröffentlicht DMARC Richtlinie im DNS unter einem anwendbaren _dmarc Namen. Die Police drückt die Einschätzung des Eigentümers hinsichtlich einer missbräuchlichen Nutzung aus. Es konfiguriert weder die Signaturidentität einer Anwendung noch bestimmt es die endgültige Aktion jedes Empfängers.
Empfänger bewerten Informationen auch außerhalb von DMARC . Folglich verspricht ein Pass keine Platzierung im Posteingang, und ein Fehlschlag stellt nicht automatisch einen blockierten Angriff dar. Der Leitfaden zur Richtlinienauswahl erklärt, wie sich die tatsächliche Nutzung einer Domain auf die Entscheidung des Inhabers auswirkt.
Mithilfe von Berichten kann der Eigentümer untersuchen, wie seine Domain in beobachteten E-Mails angezeigt wird. Bei den Berichten handelt es sich um Rückmeldungen der teilnehmenden Empfänger und nicht um eine vollständige Aufzeichnung aller gesendeten Nachrichten. Halten Sie gemeldete Beobachtungen getrennt von der Geschäftsgenehmigung und den endgültigen Lieferergebnissen.
Lesen Sie ein bestandenes Ergebnis, ohne es zu überlesen
Verwenden Sie Authentifizierungsergebnisse, die von der relevanten vertrauenswürdigen Empfangsgrenze erstellt wurden. Ein Absender kann einen Header einfügen, der einen Pass beansprucht; Die Existenz dieses Textes macht ihn nicht vertrauenswürdig.
Selbst ein echter ausgerichteter Pass hat Grenzen. Ein kompromittiertes autorisiertes Konto kann authentifizierte E-Mails senden. Eine nicht verwandte Domäne kann ihre eigenen Nachrichten authentifizieren und dabei einen irreführenden Anzeigenamen angeben. DMARC prüft nicht den Wahrheitsgehalt einer Rechnung und genehmigt keine Zahlungsanweisung.
Die nützliche Erklärung ist spezifisch: Diese empfangene Nachricht hatte eine vorübergehend authentifizierte Domäne, die die erforderliche Beziehung zu ihrer Absenderdomäne erfüllte. Das ist ein wertvolles Identitätssignal. Behalten Sie gleichzeitig den Kontoschutz, die Inhaltsbewertung und die unabhängige Überprüfung sensibler Anfragen bei.
Zur Umsetzung fahren Sie fort mit Erstellen und Überprüfen eines DMARC Datensatzes. Für den anwendungsübergreifenden Besitz verwenden Sie die Absenderbestand. Beides wird einfacher, sobald der tatsächlich zu bewertende Bereich klar ist.
Verfolgen Sie ein Ergebnis in fünf Zeilen
Verwenden Sie dieses kurze Arbeitsblatt, wenn eine Nachricht als „authentifiziert“ beschrieben wird. Beginnen Sie mit der Adresse, nicht mit dem daneben angezeigten Firmennamen.
- Von: Notieren Sie die Domain nach @ in der tatsächlichen Absenderadresse.
- Beweis: Nutzen Sie die vertrauenswürdigen Ergebnisse des empfangenden Systems. Erfassen Sie die SPF Domäne und jede passierende DKIM d=-Domäne separat.
- Beziehung: Vergleichen Sie jede vorübergehende Identität mit From im anwendbaren strengen oder entspannten Modus. Der Name eines Anbieterkontos ist keine Domänenübereinstimmung.
- Ergebnis: Mit einer anwendbaren Richtlinie und keinem ungelösten DNS Fehler reicht ein ausgerichteter Weiterleitungspfad aus. Wenn keine vorhanden ist, schlägt die Nachricht DMARC fehl. Keine entdeckte Richtlinie bedeutet, dass DMARC nicht gilt; Ein erforderlicher DNS-Abfragefehler ist nicht einfach ein Erfolg oder Misserfolg.
- Bedeutung: Notieren Sie das Identitätsergebnis getrennt von der Zustellung und ob die Anfrage sicher bearbeitet werden kann.
Für Nachricht A oben lautet die Erklärung: „ DKIM wurde für shop.example.com übergeben, was genau mit From übereinstimmt; dies liefert einen DMARC Pass.“ Es heißt nicht: „Die Rechnung ist genehmigt.“
Überprüfen Sie die DMARC -Verarbeitungsschritte und die Vertrauensgrenze Authentication-Results für diese Unterscheidungen.