Viestissä voi näkyä tuttu yrityksen nimi, kun käytetään täysin eri sähköpostiosoitetta. Se voi myös näyttää yrityksesi osoitteen, kun lähetyspalvelu todentaa vain oman verkkotunnuksensa. Ymmärtäminen DMARC alkaa erottamalla nämä identiteetit.
DMARC on lyhenne sanoista Domain-based Message Authentication, Reporting and Conformance. Se arvioi viestin Lähettäjä-osoitteessa olevan verkkotunnuksen todennettua käyttöä ja yhdistää tuloksen verkkotunnuksen omistajan julkaistuun käytäntöön. Se on toimialuetason arviointi, ei tuomio henkilöstä, pyynnöstä tai liitteestä.
Etsi osoite lähettäjän nimen takaa
Oletetaan, että sähköpostisovellus näyttää tämän kuvitteellisen lähettäjän:
Esimerkkitilit < notices@shop.example.com >Esimerkkitilit on näyttönimi. huomautukset on at-merkkiä edeltävä osa. shop.example.com on Lähettäjä-osoitteen verkkotunnus, jota kutsutaan DMARC n tekijän verkkotunnukseksi.
Sähköpostisovelluksen kompaktinäkymä saattaa näyttää vain näyttönimen. Avaa lähettäjän tiedot tai alkuperäinen viesti tunnistaaksesi todellinen osoite. Logo, nimi ja tunnistettava aiherivi eivät vahvista verkkotunnussuhdetta.
Tämän oppaan esimerkit olettavat tavallisen, hyvin muotoillun viestin, jossa on yksi tekijän verkkotunnus. Väärin muotoiltu tai epäselvä Lähettäjä-kentät vaativat oman viestimuotoisen käsittelynsä; älä keksi yhtä haluttua identiteettiä siitä, mitä sähköpostisovellus sattuu näyttämään.
Pidä muut osoitteet oikeissa rooleissaan
Sähköpostissa on SMTP -toimituskeskustelu sekä ihmisten lukemat otsikot ja teksti. Kirjekuoren palautusidentiteetti tukee toimitustilan käsittelyä ja on yleensä identiteetti, jonka arvioi SPF tavalliselle postille. Se voi poiketa kohteesta From.
A DKIM -allekirjoitus toimittaa toisen verkkotunnuksen d=-arvossaan. Viestillä voi olla useita allekirjoituksia, joista jokaisella on oma toimialue ja tulos. Reply-To on jälleen erilainen: se vaikuttaa siihen, mihin vastaus osoitetaan, ei siihen, mihin tekijän verkkotunnukseen DMARC arvioi.
| Tuote | Kysymys, johon se auttaa vastaamaan |
|---|---|
| Verkkotunnuksesta | Mitä väitettyä tekijän verkkotunnusta arvioidaan? |
| Kirjekuoren identiteetti | Minkä verkkotunnuksen tavallinen SPF valtuutus arvioidaan? |
| DKIM d= domain | Mikä verkkotunnus on liitetty tähän allekirjoitukseen? |
| Vastaus | Mihin vastaus on suunnattu? |
| Näyttönimi | Millä nimellä lukijalle esitetään? |
Nämä kentät voivat oikeutetusti erota toisistaan. Tehtävänä on ymmärtää heidän suhteitaan sen sijaan, että vaadittaisiin kaikkien näytettävän osoitteen olevan identtinen.
Ymmärrä suhde, jota kutsutaan kohdistukseksi
SPF voi hyväksyä lähetyspalvelun kirjekuoriverkkotunnuksen. DKIM voi vahvistaa allekirjoituksen kyseisen palvelun allekirjoitustoimialueelta. DMARC kysyy sitten, onko ohittava todennettu identiteetti linjassa tekijän verkkotunnuksen kanssa.
Tiukka linjaus vaatii tarkan verkkotunnuksen vastaavuuden. Rento kohdistus käyttää soveltuvaa organisaation ja toimialueen suhdetta. Älä määritä tätä rajaa yksinkertaisesti ottamalla kaksi viimeistä tunnistetta, äläkä pidä kahta samannäköistä tuotemerkkiä kohdistetuina verkkotunnuksina.
Viestitason DMARC hyväksyntää varten vähintään yhden kelvollisen SPF tai DKIM polun on läpäistävä ja kohdistettava. Siirtyvä allekirjoitus riippumattomasta toimialueesta ei voi tarjota polkua vain siksi, että yritys omistaa tilin palveluun.
Seuraa kahta kuvitteellista viestiä
Seuraava on synteettinen opetusesimerkki, ei kaapattu tai muokattu asiakasviesti. Oletetaan, että soveltuva DMARC -käytäntö löytyy ja ilmoitetut tulokset tulevat luotetusta vastaanottavasta järjestelmästä.
Molemmilla viesteillä on Lähettäjä osoitteessa shop.example.com . Heidän henkilöllisyytensä eroavat seuraavasti:
| Havainto | Viesti A | Viesti B |
|---|---|---|
| SPF | Pass for returns.example.net | Pass for returns.example.net |
| DKIM | Hyväksy osoitteella d=shop.example.com | Hyväksy tunnuksella d=dispatch.example.org |
| Tasainen ohituspolku | DKIM vastaa täsmälleen From | Kumpikaan ohimenevä identiteetti ei ole linjassa |
| DMARC -vahvistus | Syöttö | Epäonnistui |
Viestillä A on täsmällinen DKIM polku. Sen erillistä SPF identiteettiä ei tarvitse nimetä uudelleen, jotta sanomatason DMARC tulos hyväksytään.
Viesti B todentaa toimialueet, jotka eivät liity sen Lähettäjä-verkkotunnukseen. Kaksi raakaa kulkua ei siis tuota linjattua polkua. Jos tämä on valtuutettu lähettäjä, joka tarvitsee korjausta, noudata kohdistuksen vianmääritysopas. Tämä tutkimus eroaa sen päättämisestä, että jokainen tämän kaavan mukainen viesti on haitallinen.
Erottele tulos siitä, mitä vastaanotin tekee
Verkkotunnuksen omistaja julkaisee DMARC -käytännön DNS ssä sopivalla _dmarc nimellä. Käytäntö ilmaisee omistajan arvion virheellisestä käytöstä. Se ei määritä sovelluksen allekirjoitusidentiteettiä tai määritä jokaisen vastaanottajan lopullista toimintaa.
Vastaanottimet arvioivat tietoja myös DMARC ulkopuolelta. Näin ollen passi ei lupaa postilaatikon sijoittelua, eikä epäonnistuminen muodosta itsenäisesti estettyä hyökkäystä. The politiikan valintaopas selittää, kuinka verkkotunnuksen todellinen käyttö vaikuttaa omistajan päätökseen.
Raportointi voi auttaa omistajaa tutkimaan, kuinka sen verkkotunnus näkyy havaitussa postissa. Raportit ovat palautetta osallistuvilta vastaanottajilta, eivät täydellistä pääkirjaa jokaisesta lähetetystä viestistä. Pidä raportoidut havainnot erillään yritysluvasta ja lopullisista toimitustuloksista.
Lue ohimenevä tulos lukematta sitä liikaa
Käytä asianmukaisen luotettavan vastaanottorajan tuottamia todennustuloksia. Lähettäjä voi lisätä otsikon, joka vaatii hyväksyntää; tekstin olemassaolo ei tee siitä luotettavaa.
Jopa aidolla linjatulla passilla on rajansa. Vaarantunut valtuutettu tili voi lähettää todennettua postia. Liittymätön verkkotunnus voi todentaa omat viestinsä samalla, kun se esittää petollisen näyttönimen. DMARC ei tarkasta laskun todenperäisyyttä tai hyväksy maksuohjetta.
Hyödyllinen selitys on erityinen: tällä vastaanotetulla viestillä oli ohittava todennettu toimialue, joka täytti vaaditun suhteen Lähettäjä-verkkotunnukseensa. Se on arvokas identiteettisignaali. Pidä tilin suojaus, sisällön arviointi ja arkaluonteisten pyyntöjen riippumaton vahvistus rinnalla.
Jatka toteutusta varten DMARC tietueen luominen ja vahvistaminen. Käytä sovellusten omistajuutta lähettäjän inventaario. Molemmat helpottuvat, kun varsinainen arvioitava toimialue on selvä.
Jäljitä tulos viidellä rivillä
Käytä tätä lyhyttä laskentataulukkoa, kun viesti on kuvattu "todennettu". Aloita osoitteesta, älä sen vieressä näkyvästä yrityksen nimestä.
- Lähettäjä: kirjoita verkkotunnus @ jälkeen todelliseen Lähettäjä-osoitteeseen.
- Todiste: käytä vastaanottavan järjestelmän luotettavia tuloksia. Tallenna SPF verkkotunnus ja jokainen ohittava DKIM d= -verkkotunnus erikseen.
- Suhde: vertaa kutakin ohimenevää identiteettiä From soveltuvan tiukan tai rento tilan mukaisesti. Palveluntarjoajan tilin nimi ei vastaa verkkotunnusta.
- Tulos: soveltuvalla käytännöllä ja ilman ratkaisemattomia DNS virheitä yksi kohdistettu kulkupolku riittää. Jos sellaista ei ole, viesti epäonnistuu DMARC . Ei löydetty käytäntö tarkoittaa, että DMARC ei ole voimassa. pakollinen DNS-kyselyvirhe ei ole vain hyväksyntä tai epäonnistuminen.
- Merkitys: kirjaa identiteettitulos erillään toimituksesta ja siitä, onko pyyntö turvallista toimia.
Yllä olevan viestin A selitys on: " DKIM hyväksytty sivustolle shop.example.com , joka vastaa täsmälleen From; tämä antaa DMARC passin." Se ei ole: "Lasku on hyväksytty."
Tarkista DMARC -käsittelyn vaiheet ja Authentication-Results luottamusraja näitä eroja varten.