Penerbitan p=reject merupakan tonggak kebijakan, bukan akhir dari kebijakan tersebut DMARC operasi. Layanan pengirim berubah, aplikasi baru muncul dan penerima mempertahankan keputusan penanganannya sendiri. Pelaporan gabungan masih membantu mengidentifikasi regresi autentikasi, sumber yang baru diamati, dan perbedaan antara kebijakan yang diminta dan perlakuan yang dilaporkan.
Tetap konfigurasikan dan pantau pelaporan setelah perubahan kebijakan. Kesesuaiannya masih bergantung pada penggunaan domain: RFC 9989 §7.4 memperingatkan terhadap penolakan untuk domain yang penggunanya mungkin mengirim ke milis Internet dan memerlukan domain penolakan untuk menggunakan domain yang valid DKIM daripada hanya mengandalkan SPF. Bukti tetap dibatasi oleh penerima yang berpartisipasi dan pengamatan mereka. Kebijakan penolakan bukanlah bukti bahwa setiap upaya peniruan identitas diblokir atau bahwa setiap pesan sah telah terkirim.
Baca kebijakan, evaluasi dan disposisi secara terpisah
Referensi: RFC 9989 §4.7, RFC 9989 §5.4, RFC 9990 §3.1.1.9, RFC 9990 §3.1.1.11.
Kebijakan yang dipublikasikan menyatakan perlakuan yang diminta pemilik domain untuk email yang gagal DMARC . Evaluasi menanyakan apakah pengidentifikasi SPF atau DKIM yang diautentikasi selaras dengan domain penulis. Disposisi yang dilaporkan menggambarkan perlakuan terkait DMARC yang dilaporkan oleh penerima, dengan informasi penggantian jika diberikan.
Bidang ini tidak boleh diciutkan menjadi satu status. Sebuah rekor menampilkan p=reject di samping disposisi none tidak secara otomatis salah format: pesan mungkin telah disampaikan, atau penanganan penerima mungkin berbeda dari tindakan yang diminta. Periksalah hasil-hasil yang selaras dan alasan yang ada, daripada hanya menebak-nebak dari kebijakan saja. RFC 9989 menjaga kebijaksanaan penerima, dan RFC 9990 mendefinisikan bidang agregat.
Perhatikan regresi rute yang sah
Referensi: RFC 9989 §5.3.5.
Simpan inventaris aplikasi dan pemilik yang terpelihara. Bandingkan pengamatan saat ini dengan identitas yang diharapkan, dan selidiki perubahannya pemilih, jalur kembali atau domain penulis sebelum pengguna melaporkan email yang hilang. Sertakan rute bervolume rendah dan musiman yang tidak terlihat dalam jangka waktu lama.
Contoh kasus: aplikasi penagihan yang telah diverifikasi sebelumnya berpindah ke platform baru dan kehilangan kesejajarannya tanda tangan DKIM. SPF masih lolos dalam domain layanan yang tidak terkait. Asumsikan kebijakan valid yang berlaku dan pemeriksaan selesai. Tanpa jalur lewat lain yang selaras, pesan gagal DMARC dalam contoh sintetik ini. Respons yang berguna adalah dengan memperbaiki identitas pengirim yang didukung, bukan menganggap penegakan hukum membuat orientasi di masa mendatang tidak diperlukan lagi.
Menafsirkan kegagalan yang tidak sah secara terus-menerus
Pengirim yang tidak sah dapat terus menggunakan domain di Dari bahkan setelah penerapan. Laporan dapat menunjukkan kegagalan autentikasi yang diamati dan perlakuan penerima untuk lalu lintas tersebut. Volume kegagalan yang terus-menerus tidak hanya membuktikan bahwa penegakan hukum tidak efektif; suatu kontrol mungkin menolak lalu lintas yang terus berdatangan.
Sebaliknya, jangan menganggap setiap kegagalan sebagai serangan yang sudah dipastikan dapat dicegah. Atribusi, niat, cakupan penerima, dan penanganan aktual memerlukan bukti. Jumlah laporan adalah jumlah observasi, dan disposisi yang dilaporkan bukanlah audit penyampaian hilir yang lengkap.
Rekonsiliasi pengecualian dan cakupan yang hilang
Referensi: RFC 9990 §3.1.6, RFC 9990 §4, RFC 9989 §5.3.8.
Tinjau catatan di mana email yang gagal menerima perlakuan berbeda dari kebijakan yang diminta. Selidiki alasan penggantian yang diberikan dan perilaku penerusan atau perantara yang relevan. Jangan berasumsi bahwa setiap penerima menerapkan kebijakan lokal yang sama atau bahwa setiap pengecualian memiliki penjelasan yang cukup laporan agregat.
Periksa saluran pelaporan itu sendiri: kepemilikan tujuan, otorisasi eksternal jika diperlukan, kesalahan penyerapan, dan perubahan pada penerima yang berkontribusi. Dasbor yang senyap setelah penerapan mungkin mencerminkan masalah pengumpulan. Lakukan pengujian terkontrol untuk rute penting dan bandingkan bukti penerima dengan log aplikasi saat menyelidiki pengiriman.
Pertahankan ritme operasi pasca penerapan
Tetapkan tanggung jawab untuk orientasi pengirim baru, tinjauan inventaris berkala, perubahan DNS , dan triase laporan. Gunakan proses persetujuan dan masa berlaku untuk pelonggaran kebijakan sementara. Verifikasi bahwa perubahan yang diusulkan mengatasi penyebab yang didukung dan tidak berdampak tidak perlu pada pengirim yang tidak terkait.
Tutup setiap tinjauan dengan rute sah yang diuji, sumber yang tidak diketahui diselidiki, penyimpangan penerima diperiksa dan kesenjangan pelaporan masih ada. Tujuan setelah p=reject dipertahankan, cakupan otentikasi dapat dijelaskan. Rangkaian kebijakan saja tidak dapat memberikan jaminan tersebut.
Mengikat kesimpulan dan tindakan selanjutnya
Untuk perpindahan platform fiktif, pertahankan sandi SPF mentah di bawah identitas layanan yang tidak terkait secara terpisah dari DKIM yang tidak selaras. Perbaikan penandatanganan yang didukung kemudian harus diuji pada rute yang terpengaruh. Disposisi tidak ada yang dilaporkan tetap menangani bukti, bukan bukti bahwa otentikasi dipulihkan atau kotak masuk menerima pesan.