Sebuah SPF meneruskan jawaban apakah IP pengirim diotorisasi untuk identitas SPF yang dievaluasi. DMARC mengajukan pertanyaan tambahan: apakah identitas yang diautentikasi tersebut selaras dengan domain di Dari? Sebuah laporan agregat oleh karena itu dapat menunjukkan kelulusan SPF mentah dan kegagalan DMARC terkait SPF tanpa bertentangan.
Identifikasi SPF domain yang diautentikasi
Referensi: RFC 9990 §3.1.1.13, RFC 7208 §2.4, RFC 9989 §4.4.2.
Baca auth_results/spf/domain dan hasilnya bersama-sama. Periksa pengidentifikasi/header_from, envelope_from apa pun, dan cakupan yang dilaporkan. Jangan berasumsi SPF memeriksa domain Dari yang terlihat. RFC 7208 mendefinisikan KIRIM DARI identitas, sementara RFC 9989 menggunakan identitas tersebut untuk kontribusi SPF pada DMARC .
Untuk jalur balik nol, SPF mendefinisikan identitas MAIL FROM menggunakan postmaster di HELO domain. Kasus khusus tersebut tidak boleh menjadi aturan bahwa setiap HELO independen memenuhi DMARC . Saat ini RFC 9990 pelaporan izin mfrom sebagai ruang lingkup SPF ; format laporan lama mungkin menampilkan bidang yang berbeda dan memerlukan interpretasi eksplisit.
Terapkan mode penyelarasan yang benar
Referensi: RFC 9989 §3.2.10.2, RFC 9989 §4.10.2, RFC 9990 §3.1.1.9.
SPF yang ketat penyelarasan memerlukan domain yang diautentikasi agar sama persis dengan domain penulis. Penyelarasan yang santai memungkinkan hubungan ditentukan melalui aturan domain organisasi yang berlaku. Jangan menghitungnya hanya dengan menghapus sejumlah label: rincian akhiran publik dan penemuan kebijakan penting.
Nilai SPF di bawah row/policy_evaluated menyatakan hasil terkait DMARC, bukan duplikat dari hasil SPF mentah. Kegagalan atau kesalahan mentah tidak bisa menjadi jalur SPF yang berhasil hanya karena nama domainnya mirip satu sama lain. Otentikasi harus berhasil dan juga selaras.
Kerjakan dua baris yang kontras
Referensi: RFC 9989 §5.3.5.
Asumsikan kebijakan valid yang berlaku, pemeriksaan yang telah selesai, dan domain organisasi yang tidak terkait untuk brand.example dan vendor.example . Baris sintetis A menggunakan header_from= brand.example , MAIL FROM= vendor.example dan SPF =pass mentah. Identitas yang tidak terkait tidak selaras, sehingga diharapkan policy_evaluated/ spf=fail . Menambahkan IP vendor ke SPF brand.example tidak mengubah identitas yang sebenarnya dievaluasi oleh rute ini.
Baris sintetis B menggunakan header_from= brand.example dan MAIL FROM= bounce.brand.example dengan SPF =pass mentah. Asumsikan penemuan domain organisasi yang berlaku menempatkan keduanya bersama-sama. Penyelarasan SPF yang longgar bisa lolos, sedangkan penyelarasan SPF yang ketat gagal karena namanya berbeda. Ini adalah perlengkapan lapangan ilustratif, bukan lalu lintas yang diamati.
Untuk baris mana pun, periksa sejajar DKIM sebelum menyimpulkan bahwa DMARC secara keseluruhan gagal. Sebuah passing selaras tanda tangan DKIM dapat memberikan jalur DMARC yang sukses secara independen dari SPF .
Pilih perbaikan yang mengubah lapisan yang gagal
Referensi: RFC 7208 §10.3.
Jika SPF mentah gagal, selidiki otorisasi dan jalur penghubung untuk domain aktual yang dievaluasi. Jika SPF mentah lolos tetapi tidak selaras, selidiki konfigurasi MAIL FROM kustom yang didukung atau jalur autentikasi lain yang selaras. Jangan terus-menerus menambahkan IP ke domain yang tidak terkait Catatan SPF.
Konfirmasikan perubahan dengan surat yang diterima secara terkontrol dan bukti pelaporan selanjutnya, dengan mempertahankan hasil yang mentah dan selaras. Penerusan dapat mengubah IP penghubung, jadi ujilah rute yang relevan dan hindari memperlakukan SPF saja sebagai jaminan pengiriman. Tutup penyelidikan dengan identitas yang dievaluasi, mode penyelarasan, dan hasil yang ditunjukkan.
Pertahankan kasus uji mentah hingga selaras
Empat peta sintetis parsial berbagi header_from= brand.example , kebijakan p=reject dan interval zaman 1704067200–1704153600. A menggunakan MAIL FROM= vendor.example dengan pass SPF mentah dan tanpa tanda tangan DKIM : SPF dan DMARC yang selaras gagal. B menggunakan MAIL FROM= bounce.brand.example dengan pass SPF mentah dan tanpa DKIM : di bawah domain organisasi bersama yang diasumsikan secara eksplisit, mode santai meneruskan penyelarasan SPF dan DMARC . Input B yang sama dalam mode ketat gagal keduanya. Kasus keempat memulihkan identitas SPF A yang tidak terkait tetapi menambahkan penerusan DKIM untuk brand.example /selector billing1: DMARC melewati DKIM .
Latihan identitas lokal yang diberikan mereproduksi keempat hasil dari identitas, hasil, dan mode penyelarasan yang diberikan. Ini menggunakan peta domain organisasi yang eksplisit, bukan implementasi DNS tree-walk. Itu juga tidak menguji pesan jalur balik nol yang sebenarnya; panduan jalur nol di atas berbasis spesifikasi. Perilaku penyedia dan penerima sebenarnya masih memerlukan bukti pesan yang diterima.
Pertahankan latihan dalam cakupannya
Contohnya adalah proyeksi lapangan parsial, bukan laporan valid skema atau lalu lintas terukur. Pemeriksaan lokal menggunakan hasil otentikasi dan hubungan organisasi yang diberikan secara eksplisit; mereka tidak melakukan penemuan DNS , evaluasi SPF , verifikasi kriptografi, penyerapan laporan, atau tes pengiriman penerima. Pertahankan laporan asli dan bukti pesan tepercaya sebelum melakukan perubahan produksi.