Julkaiseminen a DMARC -tietue muuttaa käytäntöä ja raportointitietoja, jotka osallistuvat vastaanottajat voivat löytää toimialueelta. Se ei määritä SPF, lisää DKIM allekirjoitukset, luettelo lailliset lähettäjät tai pakottaa jokainen vastaanottaja tekemään saman toimituspäätöksen.
Käsittele DNS muutosta yhtenä vaiheena kontrolloidussa ohjelmassa. Turvallinen muutos riippuu todisteista verkkotunnuksen todellisista lähetysreiteistä.
Erillinen julkaisu valmiudesta
Protokollaviitteet: RFC 9989 §4.5, RFC 9989 §4.4.1, RFC 9989 §4.4.2, RFC 9989 §5.3.8. Alla olevat toiminnalliset tarkistuslistat ja päätökset ovat toimituksellisia ohjeita.
DMARC tietue julkaistaan sopivalla _dmarc DNS nimellä. Sen käytäntö voi pyytää ei mitään, asettaa karanteeniin tai hylätä niiden viestien käsittelyn, jotka epäonnistuvat DMARC arviointi. Tietue voi myös pyytää raportteja ja asettaa muita aktiivisia parametreja.
Julkaisu ei kohdista lähettäjää. SPF linjaus riippuu todennetusta kirjekuoren identiteetistä ja Lähettäjä-toimialueesta. DKIM kohdistus riippuu ohittavan allekirjoituksen d=-alueesta ja From-toimialueesta. Vähintään yksi kulkeva kohdistettu polku voi tyydyttää sanomatason tuloksen. Täysi osallistuminen edellyttää sekä kohdistettua SPF että DKIM ää RFC 9989 §8; hylätä verkkotunnukset EI SAA luottaa pelkästään SPF ja TÄYTYY käyttää kelvollisia DKIM allekirjoituksia RFC 9989 §7.4.
Ennätys joka pyytää hylkäämistä ennen kuin lailliset reitit ovat valmiita, voi altistaa kyseiset reitit vastaanottajan toiminnalle. Tietue, joka ei pyydä käytäntökohtaista käsittelyä, voi tukea seurantaa, mutta raportit eivät kata jokaista viestiä tai vastaanottajaa.
Rakenna lähettäjäkohtainen valmiusmatriisi
Seuraava on havainnollistava toimintamalli, ei väite todellisesta ympäristöstä:
- Lähettäjä: Yritysposti; Yrityksen omistaja: Workplace IT; Verkkotunnuksesta: example.com ; Tasainen SPF havaittu: Kyllä; Tasattu DKIM havaittu: Kyllä; Edustava testi: Nykyinen; Täytäntöönpanovalmius: Todisteet saatavilla; täyden valmiustarkastuksen alaisena
- Lähettäjä: Laskutusalusta; Yrityksen omistaja: Rahoitusjärjestelmät; Verkkotunnuksesta: billing.example.com ; Tasainen SPF havaittu: Ei; Tasattu DKIM havaittu: Kyllä; Edustava testi: Nykyinen; Täytäntöönpanovalmius: Sanomatasolla kohdistettu polku havaittu; laajempi valmius kaipaa tarkastelua
- Lähettäjä: Legacy alerting; Yrityksen omistaja: Infrastruktuuri; Verkkotunnuksesta: example.com ; Tasainen SPF havaittu: Ei; Tasattu DKIM havaittu: Ei; Edustava testi: Nykyinen; Täytäntöönpanovalmius: Ei valmis
- Lähettäjä: Kausikysely; Yrityksen omistaja: Markkinointi; Verkkotunnuksesta: news.example.com ; Tasainen SPF havaittu: Tuntematon; Tasainen DKIM havaittu: Tuntematon; Edustava testi: puuttuu; Täytäntöönpanovalmius: Pidä kiinni ja tutki
"Kyllä" pitäisi tulla vastaanotetun viestin todisteesta, ei ohjauspaneelin väitteestä. "Tuntematon" ei ole sama kuin "ei". Se tarkoittaa, että omistajan vaihdolla ei ole tarpeeksi todisteita täytäntöönpanopäätöksen tekemiseksi.
Kirjaa politiikan ero
Tallenna tarkka DNS omistajan nimi, aikaisempi arvo, ehdotettu arvo, ratkaisijahavainnot, omistajan vaihtaminen ja hyväksyntä. Yksinkertainen kuvitteellinen ero voisi olla:
- Kenttä: Omistaja; Ennen: _dmarc.example.com ; Ehdotettu: _dmarc.example.com
- Kenttä: Policy; Ennen: p=none; Ehdotettu: p=quarantine
- Kenttä: Aggregate reporting; Ennen: Olemassa oleva sallittu määräpaikka; Ehdotus: Ei muutoksia
- Kenttä: Aliverkkotunnuskäytäntö; Ennen: peritty p:stä; Ehdotus: Tarkistettu nimenomaisesti
- Kenttä: Testauslippu; Ennen: Ei läsnä; Ehdotettu: Ei läsnä
Tarkoituksena ei ole edistää tiettyä kohdepolitiikkaa. Sen tarkoituksena on tehdä jokainen semanttinen muutos näkyväksi. Jos tietue muuttaa myös raportointikohteita, kohdistustiloja, aliverkkotunnuksen käsittelyä tai testauslippua, tarkista nämä päätökset erikseen.
Ymmärrä, mitä politiikka vaatii
Protokollaviitteet: RFC 9989 §4.7, RFC 9989 §5.4. Alla olevat toiminnalliset tarkistuslistat ja päätökset ovat toimituksellisia ohjeita.
Käytäntö on verkkotunnuksen omistajan pyytämä arvio sähköpostille, joka epäonnistuu DMARC . Vastaanottajat säilyttävät harkintansa ja voivat käyttää paikallista käytäntöä, lisätodisteita ja poikkeuksia. A julkaistu p=reject arvo ei siis takaa, että jokainen epäonnistunut viesti hylätään, ja p=none -arvo ei takaa toimitusta.
Vastaanotin myös määrittää, toteuttaako se asiaankuuluvat määrittelyt ja raportointikäyttäytymiset. Tarkkaile todellisia tuloksia sen sijaan, että muuttaisit DNS merkkijonon yleiseksi lupaukseksi.
RFC 9989 sisältää aktiivisen t-testauslipun. Kun käytetään arvoa t=y , sen määritetty vaikutus on yksitasoinen vähennys ilmoitetussa p-, sp- tai np-arvioinnissa: hylkäämistä käsitellään karanteenina ja karanteenina ei mitään. Se ei ole mielivaltainen prosenttiosuus, eikä se muuta ilmoitettua ei-arviota. Vastaanottimen toteutuksella on edelleen merkitystä.
Tiedä mitä julkaisu ei korjaa
DMARC n julkaiseminen ei
- yhdistää useita SPF käytäntöjä;
- lisää a DKIM -allekirjoitus sovellukseen;
- muuttaa palvelun kirjekuorta tai allekirjoitustoimialuetta;
- todistaa, että jokainen havaittu lähde on laillinen;
- suojaa näyttönimiä asiaankuulumattomilla verkkotunnuksilla;
- edelleenlähetys- tai postituslistamuunnosten korjaus;
- takuuraportin toimitus;
- määritä postilaatikon sijoittelu;
- valtuuttaa liiketoimen.
Jokainen aukko tarvitsee oman omistajansa. DMARC -tietue kuvaa toimialueen käytäntöä; se ei ole jokaisen lähettävän sovelluksen orkestrointikomento.
Hyväksy täytäntöönpano edustavien todisteiden perusteella
Hyödyllinen hyväksyntietue nimeää soveltamisalaan kuuluvat toimialueet, lähettäjän inventaarion version, todisteiden päivämäärän, ratkaisemattomat poikkeukset, kohdekäytännön, palautuskriteerit ja vastuullisen hyväksyjän. Sisällytä pienimääräiset, ajoitetut ja hätälähettimet. Viikko ilman havaittua vikaa ei riitä, jos neljännesvuosittaisia tai vuosittaisia järjestelmiä ei koskaan käytetä.
Käytä edustajan vastaanottamaa viestiä jokaiselta reitiltä. Tallenna Lähettäjä-toimialue, kirjekuoren identiteetti, DKIM d= -arvot, luotettavat tulokset ja kohdistus. Aggregaattiraportit voivat auttaa tunnistamaan malleja, mutta ne eivät korvaa omistajan vahvistusta tai viestitason testausta.
Epäsuorat postivirrat ansaitsevat erillisen huomion. Edelleenlähetys ja viestien muokkaaminen voivat vaikuttaa SPF ja DKIM eri tavalla. Älä ratkaise tunnettua edelleenlähetyspoikkeusta heikentämällä asiaankuulumattoman lähettäjän todennusta ilman todisteita.
Tarkista DNS muutoksen jälkeen
Julkaisun jälkeen:
- Kysy tarkka omistajan nimi riippumattomien ratkaisejien kautta.
- Varmista, että yksi yhtenäinen DMARC käytäntötietue on löydettävissä.
- Salli DNS välimuisti, ennen kuin tulkitset sekalaisia havaintoja.
- Lähetä kontrolloidut testit edustavia reittejä pitkin.
- Tarkista vastaanottimen tulokset, ei vain lähtevien sovellusten lokit.
- Vertaa virheitä hyväksyttyyn lähettäjän luetteloon.
- Katso yritysten tukikanavia viivästyneiden tai ajoittaisten reittien varalta.
Havaintoikkunan tulisi kattaa merkitykselliset suhdannesyklit. Aseta selkeät pysäytysehdot sen sijaan, että odotat mielivaltaisen määrän päiviä.
Määritä palautus ennen täytäntöönpanoa
Protokollaviitteet: RFC 9990 §4. Alla olevat toiminnalliset tarkistuslistat ja päätökset ovat toimituksellisia ohjeita.
Palautus on kontrolloitu DNS muutos, ei poistaminen ilman analysointia. Merkitse muistiin aiempi arvo ja ehto, joka oikeuttaa vakuutuksen alentamisen. Peruuttaminen voi heikentää käytäntöä, kun kyseinen lähettäjä korjataan, mutta sen tulisi säilyttää todisteet ja välttää useiden tietueiden lisäämistä.
Jos raportointikohteet ovat käytäntötoimialueen ulkopuolisia, varmista, että vaaditut valtuutukset ovat olemassa. Raportoinnin epäonnistuminen tulee tutkia, mutta raporttien puuttuminen ei yksinään osoita, että politiikkaa ei arvioida.
Käsittele julkaisemista säänneltynä päätöksenä
DNS omistaja suorittaa muutoksen. Postitoiminnot vahvistavat todennuksen. Sovellusten omistajat vahvistavat oikeat reitit. Turvallisuus hyväksyy jäljelle jääneet toisena henkilönä esiintymisen ja toimitusriskit. Yritysten omistajat hyväksyvät vaikutuksen kriittiseen viestintään.
Tämä erottelu estää yksittäistä TXT -muokkausta kantamasta hiljaa vastuuta sovelluksista, joita se ei voi määrittää, ja vastaanottimen päätöksistä, joita se ei voi hallita.
Käytä todisteita liioittelematta sitä
Pidä kuvitteellisessa valmiusmatriisissa perintö- ja kausireitit tutkittavaksi. Laskutuksen kohdistettu DKIM havainto osoittaa mahdollisen viestitason polun, ei täydellistä osallistumista tai omistajan hyväksyntää. Kirjaa ylös puuttuvat todisteet ennen politiikan valitsemista. Yhtään kuvatuista DNS muutoksista tai -lähetyksistä ei suoritettu.