क्यों एक संरेखित मार्ग DMARC संतुष्ट कर सकता है?

एक संदेश को दोनों की आवश्यकता नहीं है SPF और DKIM एक संदेश-स्तर का उत्पादन करने के लिए DMARC उत्तीर्ण। इसके लिए कम से कम एक योग्यता पथ की आवश्यकता है: SPF पास होना और संरेखित होना चाहिए, या कम से कम एक होना चाहिए DKIM हस्ताक्षर पास होना और संरेखित होना चाहिए।

उस नियम को अतिसरलीकृत करना आसान है। एक संदेश-स्तरीय पास पूर्ण डोमेन-प्रमाणीकरण परिनियोजन के समान नहीं है। यह अलग-अलग मेलबॉक्स-प्रदाता आवश्यकताओं को भी ओवरराइड नहीं करता है जो प्रेषकों से SPF और DKIM दोनों को कॉन्फ़िगर करने की अपेक्षा कर सकते हैं। प्रोटोकॉल परिणाम, भेजने वाले कार्यक्रम और प्रदाता आवश्यकताओं को तीन अलग-अलग निर्णयों के रूप में रखें।

बूलियन नियम को सही ढंग से लागू करें

लागू वैध नीति और पूर्ण जांच के साथ एक सुव्यवस्थित संदेश के लिए, RFC 9989 §5.3.5 संदेश-स्तरीय सत्यापन नियम देता है:

DMARC पास = ( SPF पास होता है और SPF पहचान संरेखित होती है) या (एक DKIM हस्ताक्षर पास होता है और उसका डी= डोमेन संरेखित होता है)

OR शब्द मायने रखता है. कोई भी शाखा संदेश-स्तरीय शर्त को पूरा कर सकती है। AND शब्द प्रत्येक शाखा के अंदर मायने रखता है। एक कच्चा प्रमाणीकरण बिना पास हो जाता है संरेखण इसे संतुष्ट नहीं करता.

संरेखण प्रमाणित डोमेन की तुलना लेखक डोमेन से करता है। सख्त मोड के तहत सटीक समानता की आवश्यकता होती है RFC 9989 §3.2.10.2. रिलैक्स्ड मोड खोज संबंध का उपयोग करता है RFC 9989 §4.10.2.

तीन आवश्यक मामलों की तुलना करें

निम्नलिखित काल्पनिक उदाहरण से का उपयोग करते हैं orders@example.com. वे सिंथेटिक शिक्षण के मामले हैं, कैप्चर किए गए ग्राहक ट्रैफ़िक के नहीं।

• केस: ए; SPF : example.com के लिए पास, संरेखित; DKIM : असफल; DMARC परिणाम: उत्तीर्ण; कारण: SPF शाखा योग्य है
• केस: बी; SPF : विफल; DKIM : d=example.com, संरेखित करें; DMARC परिणाम: उत्तीर्ण; कारण: DKIM शाखा योग्य है
• केस: सी; SPF : vendor.example.net के लिए पास, असंरेखित; DKIM : d=vendor.example.net, असंरेखित; DMARC परिणाम: विफल; कारण: कोई भी शाखा योग्य नहीं है

केस ए दिखाता है कि DKIM विफलता का मतलब स्वचालित रूप से DMARC विफलता क्यों नहीं है। केस बी दिखाता है कि SPF बाधित करने वाला फ़ॉरवर्डिंग अभी भी एक संरेखित DKIM पथ क्यों छोड़ सकता है। केस सी दिखाता है कि क्यों दो हरे कच्चे परिणाम अभी भी DMARC विफलता उत्पन्न कर सकते हैं।

इन उदाहरणों को डिज़ाइन लक्ष्य के रूप में न पढ़ें। संदेशों को अग्रेषित करते समय केवल लिफाफे पर निर्भर रहना नाजुक हो सकता है। जब मध्यस्थ हस्ताक्षरित सामग्री को संशोधित करते हैं तो केवल DKIM पर निर्भर रहना नाजुक हो सकता है। लचीलापन आमतौर पर दोनों तंत्रों को सही ढंग से कॉन्फ़िगर करने, फिर यह सत्यापित करने से आता है कि वास्तविक संदेश कैसे व्यवहार करते हैं।

सत्यापन को पूर्ण भागीदारी से अलग करें

संदेश-स्तरीय सत्यापन यह उत्तर देता है कि प्राप्त संदेश में कम से कम एक गुजरने वाला संरेखित पथ है या नहीं। एक परिपक्व डोमेन प्रोग्राम व्यापक प्रश्न पूछता है: क्या वैध संदेशों को लगातार कवर किया जाता है, क्या दोनों तंत्र आवश्यकतानुसार तैनात किए जाते हैं, क्या नीति उचित है, क्या रिपोर्ट की समीक्षा की जाती है, और क्या परिचालन मालिक अपवादों को ठीक करते हैं?

RFC 9989 एकल संदेश के सत्यापन परिणाम की तुलना में किसी डोमेन के लिए पूर्ण भागीदारी को अधिक व्यापक रूप से परिभाषित करता है। विशेष रूप से, एक डोमेन प्रकाशन अस्वीकार को केवल SPF पर निर्भर नहीं होना चाहिए और इसके तहत वैध DKIM हस्ताक्षर लागू करना चाहिए RFC 9989 §7.4. पूर्ण भागीदारी निर्दिष्ट है RFC 9989 §8. संदेश-स्तर या नियम को सलाह में न बदलें कि पूरे संगठन में एक तंत्र को नजरअंदाज किया जा सकता है।

जब कोई मेलबॉक्स प्रदाता प्रेषक आवश्यकताओं को प्रकाशित करता है तो वही अंतर मायने रखता है। उदाहरण के लिए, Google के प्रेषक दिशानिर्देश इसके लिए SPF , DKIM और DMARC सेटअप की आवश्यकता है थोक प्रेषक व्यक्तिगत Gmail खातों के लिए. एक प्रदाता को प्रेषक श्रेणी के लिए SPF और DKIM दोनों को कॉन्फ़िगर करने की आवश्यकता हो सकती है, भले ही किसी विशेष संदेश के लिए DMARC सत्यापन अभी भी संरेखित-पथ नियम का उपयोग करता हो। प्रदाता की अलग आवश्यकता को पूरा करने में विफलता को DMARC बूलियन अभिव्यक्ति का हवाला देकर खारिज नहीं किया जा सकता है।

नीति बदलने से पहले विफल शाखा का निदान करें

जब कोई वैध संदेश DMARC विफल हो जाता है, तो कैप्चर करें:

• साक्ष्य: डोमेन से; प्रश्न: किस लेखक का डोमेन सुरक्षित किया जा रहा है?
• साक्ष्य: SPF परिणाम और मूल्यांकित डोमेन; प्रश्न: क्या लिफाफा पथ गुजर गया, और क्या यह संरेखित था?
• साक्ष्य: प्रत्येक DKIM परिणाम और d= डोमेन; प्रश्न: क्या कोई हस्ताक्षर पारित और संरेखित हुआ?
• साक्ष्य: संरेखण मोड; प्रश्न: क्या सख्त या ढीली तुलना लागू की गई?
• साक्ष्य: विश्वसनीय रिसीवर परिणाम; प्रश्न: निष्कर्ष कहाँ तैयार किया गया था?

फिर उस शाखा की मरम्मत करें जिसका उपयोग प्रेषक को करना है। SPF के लिए, इसमें एक कस्टम लिफ़ाफ़ा डोमेन और अधिकृत प्रेषण पथ शामिल हो सकता है। DKIM के लिए, इसमें संगठन के डोमेन के साथ हस्ताक्षर करना और प्रतिनिधि द्वारा प्राप्त संदेश को सत्यापित करना शामिल हो सकता है। केवल इसलिए नीति को कमजोर न करें क्योंकि पहचान तालिका अभी तक इकट्ठी नहीं की गई है।

अप्रत्यक्ष मेल को समझें

जैसा कि इसमें वर्णित है RFC 7208 §10.3, अग्रेषण अक्सर कनेक्टिंग स्रोत को बदल देता है, इसलिए SPF अंतिम रिसीवर पर विफल हो सकता है भले ही यह पहले पारित हो गया हो। एक जीवित संरेखित DKIM हस्ताक्षर अभी भी एक योग्यता पथ प्रदान कर सकता है। हस्ताक्षरित सामग्री में परिवर्तन DKIM अमान्य कर सकता है RFC 6376 §3.7, जबकि अन्य मध्यस्थ व्यवहार दोनों मार्गों को प्रभावित कर सकते हैं।

DMARC यह गारंटी नहीं देता है कि प्रत्येक वैध अप्रत्यक्ष प्रवाह एक योग्यता पथ को संरक्षित करेगा। वास्तविक मार्ग, प्राप्तकर्ता साक्ष्य और व्यावसायिक आवश्यकता का मूल्यांकन करें। स्वभाव तय करते समय एक प्राप्तकर्ता स्थानीय नीति और अन्य साक्ष्य भी लागू कर सकता है।

चार सामान्य निष्कर्षों से बचें

सबसे पहले, यह न कहें कि प्रत्येक संदेश को DMARC पास करने के लिए SPF और DKIM दोनों को पास करना होगा। वह संदेश-स्तरीय नियम नहीं है.

दूसरा, यह मत कहिए कि संपूर्ण भेजने वाली संपत्ति के लिए एक तंत्र पर्याप्त है। एक भी पारित उदाहरण कवरेज, लचीलापन या पूर्ण भागीदारी स्थापित नहीं करता है।

तीसरा, पास की तुलना इनबॉक्स प्लेसमेंट से न करें। प्रमाणीकरण निर्णय प्राप्त करने का एक इनपुट है।

चौथा, विफलता को सिद्ध धोखाधड़ी से न जोड़ें। एक वैध सेवा को गलत तरीके से कॉन्फ़िगर किया जा सकता है, जबकि एक हमलावर के स्वामित्व वाला डोमेन अपने स्वयं के मेल को प्रमाणित कर सकता है।

उपयोग ईमेल पहचान-श्रृंखला गाइड सबूत इकट्ठा करने के लिए और SPF , DKIM और DMARC गाइड परिणाम को व्यापक कार्यक्रम में रखना।

निष्कर्ष को साक्ष्य के भीतर रखें

बूलियन फिक्स्चर के लिए, प्रत्येक शाखा को OR के साथ संयोजित करने से पहले पास और संरेखित के रूप में मूल्यांकन करें। एक हस्ताक्षर जो विफल रहता है वह किसी अन्य हस्ताक्षर से संरेखण उधार नहीं ले सकता है, और एक SPF पास किसी अन्य डोमेन के संरेखण को उधार नहीं ले सकता है। यदि आवश्यक हो तो DNS जाँचें पूरी नहीं हो पातीं, RFC 9989 §5.3.6 उस त्रुटि को सामान्य उत्तीर्ण/असफल परिणाम से अलग करता है। कोई वास्तविक सत्यापनकर्ता नहीं चलाया गया.