DMARCbis mengubah bagaimana bagian dari DMARC ditentukan dan dilaksanakan. Itu tidak meminta Anda untuk mengganti nama catatan Anda menjadi DMARC2. Spesifikasi inti, RFC 9989, diterbitkan pada Mei 2026, sedangkan RFC 9990 Dan RFC 9991 mencakup pelaporan agregat dan kegagalan secara terpisah.
Tugas praktisnya adalah mengetahui perubahan mana yang memengaruhi domain Anda, layanan pengiriman, dan perangkat lunak yang memproses data autentikasi Anda. Dimulai dengan memahami spesifikasi saat ini, kemudian membandingkannya dengan konfigurasi dan proses yang sudah digunakan. Hasilnya harus berupa daftar kesiapan yang jelas dengan bukti, pemilik dan keputusan untuk setiap temuan.
Petakan ketiga spesifikasi tersebut ke sistem Anda
Gunakan dokumen terkini untuk pekerjaannya masing-masing:
| Dokumen | Apa yang harus diulas |
|---|---|
| RFC 9989 | Evaluasi inti DMARC , penemuan kebijakan, penyelarasan dan merekam semantik |
| RFC 9990 | Format, pembuatan, dan pemrosesan pelaporan agregat |
| RFC 9991 | Pelaporan kegagalan dan pertimbangan penanganannya |
Mulailah dengan catatan yang ada dan riwayat konfigurasi. Jangan menghapus catatan pengoperasian hanya karena panduan lama mengutipnya RFC 7489. Identifikasi instruksi yang berubah dan perangkat lunak yang mengimplementasikannya.
Area tinjauan utama meliputi hal-hal berikut:
- Penemuan domain: RFC 9989 bagian 4.10 mendefinisikan berjalan pohon DNS . Tinjau sistem yang mengasumsikan model penemuan daftar sufiks publik yang lebih lama.
- Tag kebijakan: Periksa registri IANA saat ini. Itu
persen,rfDanritag bersejarah. Menilait,npDanpsdberdasarkan cakupan sebenarnya daripada menambahkannya sebagai daftar periksa peningkatan. - Pengujian: Tetapkan bagaimana evaluator yang relevan mengimplementasikan biner
tsinyal. Keadaan pengujian yang dinyatakan dan disposisi akhir penerima adalah pengamatan yang berbeda. - Pelaporan: Konfirmasikan bahwa kolektor dan parser menangani format dan kolom laporan yang ingin Anda terima, tanpa kehilangan observasi lama yang relevan.
Penanda versi tetap ada v=DMARC1. Jangan gantikan DMARC2 atau secara mekanis mengganti persentase lama dengan tanda pengujian.
Terjemahkan tag yang diubah ke dalam pengujian
Itu t tandai defaultnya ke n, meminta penerapan penilaian yang dinyatakan terhadap kegagalan DMARC . Pengaturan t=y menandakan bahwa pemilik sedang menguji daripada meminta penilaian yang dinyatakan untuk diterapkan secara langsung. RFC 9989 bagian 4.7 mendefinisikan pengurangan satu tingkat untuk pesan yang gagal: penolakan menjadi karantina, dan karantina menjadi tidak ada. Penerapannya mungkin juga memerlukan penanganan khusus yang relevan.
Tanda ini tidak mengubah hasil autentikasi yang gagal menjadi izin, mengubah pembuatan laporan, atau memengaruhi kebijakan tidak ada. Ini bersifat biner, bukan permintaan untuk mengambil sampel persentase email secara sembarangan. Tetapkan dukungan implementasi sebelum mengandalkannya untuk lalu lintas nyata, dan pisahkan pemfilteran lokal penerima dari hasil pengujian tingkat kebijakan.
Dua tag lainnya memengaruhi cakupan penilaian:
- np: Menentukan penilaian untuk subdomain yang tidak ada domain organisasi. Jika tidak ada, penggantian yang berlaku adalah sp jika ada, jika tidak, p. Hilang catatan MX saja tidak membentuk ketidakberadaan.
- psd: Menandai informasi batas domain yang digunakan selama penemuan. Defaultnya u menyerahkan penentuan batas pada aturan penemuan; y mengidentifikasi sufiks publik, sedangkan n mengidentifikasi batas organisasi sufiks non-publik untuk dirinya sendiri dan subdomainnya. Jangan menetapkan nilai batas eksplisit tanpa memastikan bahwa nilai tersebut menggambarkan domain dengan benar.
Sebuah organisasi biasa tidak boleh melabeli domainnya sebagai sufiks publik hanya untuk menyatakan kesiapannya. Tinjau asumsi penemuan aktual dan namespace yang didelegasikan. Itu panduan kebijakan subdomain mencakup pertanyaan warisan yang lebih sempit.
Identifikasi email yang harus tetap berfungsi
Sebuah domain mungkin mewakili lebih dari sekedar email karyawan. Hal ini dapat muncul pada faktur, link login, peringatan pelanggan dan pesan yang dikirim oleh lembaga luar. Pembaruan standar adalah peluang untuk memeriksa dependensi tersebut sebelum perubahan konfigurasi yang terburu-buru mengganggunya.
Mintalah tiga hasil: inventarisasi layanan menggunakan identitas Anda, penjelasan tentang perubahan spesifik yang memengaruhi Anda, dan rencana pengujian untuk pesan-pesan penting. Jawabannya harus membedakan spesifikasi yang dipublikasikan dari fitur yang sudah diterapkan oleh penerima atau layanan perangkat lunak tertentu.
Mengalokasikan kepemilikan serta anggaran. Perubahan pemrosesan laporan memerlukan seseorang yang bertanggung jawab atas alur pelaporan. Pengirim yang tidak dapat mengautentikasi dengan benar memerlukan keterlibatan pemilik bisnisnya. Memanggil kedua item sebagai pemutakhiran DNS menyembunyikan pekerjaan.
Membangun daftar kesiapan
Berikut ini adalah ilustrasi daftar perencanaan, bukan penilaian terhadap domain sebenarnya:
| Temuan | Diperlukan pekerjaan | Bukti penyelesaian |
|---|---|---|
| Instruksi peluncuran mengasumsikan pengambilan sampel persentase | Uji bendera biner menggunakan perlengkapan terkontrol di bawah ini | Penilaian yang dinyatakan, penilaian setelah bendera pengujian dan keputusan penerima independen dicatat |
| Pengurai laporan mengasumsikan satu skema lama | Tinjau format, bidang, dan penanganan kesalahan yang diterima | Perlengkapan berversi yang valid, lawas, dan salah format |
| Aplikasi kritis tidak diketahui pemiliknya | Tetapkan layanan bisnis dan identitas yang didukung | Pemilik yang disebutkan namanya dan sampel pesan yang diterima terverifikasi |
| Editor DNS dikendalikan oleh tim outsourcing | Menyetujui persetujuan dan tanggung jawab pemulihan | Pratinjau perubahan yang tepat, persetujuan dan materi restorasi |
Perlengkapan sintetis berikut menentukan hasil yang diharapkan untuk evaluator terkontrol yang menerapkan RFC 9989 . Itu adalah input pengujian, bukan templat rekaman produksi atau pengujian yang telah dilakukan. Asumsikan kebijakan berlaku yang valid ditemukan dan pesan pengujian gagal DMARC .
| Perlengkapan | Masukan | Pengamatan tingkat kebijakan yang diharapkan |
|---|---|---|
| Bendera pengujian | p=reject; t=y | Validasi tetap gagal; penilaian setelah t=y adalah karantina, bukan dinyatakan ditolak |
| Tidak ada tanda apa pun | p=none; t=y | Bendera ini membiarkan penilaian tidak ada dan perilaku pembuatan laporan tidak berubah |
| Anak yang tidak ada | Kebijakan domain organisasi yang berlaku tidak memiliki p=none; sp=quarantine; np=reject, dengan default t=n; anak ditetapkan sebagai tidak ada dan tidak memiliki kebijakan langsung | Penilaian anak yang berlaku adalah nilai penolakan, bukan nilai sp anak yang ada |
Tangkap versi evaluator, masukan, validasi yang diamati, penilaian yang dipilih, dan penanganan akhir apa pun secara terpisah. Perlengkapan yang terkontrol menetapkan perilaku yang diuji; hal ini tidak membuktikan bahwa setiap penerima Internet menerapkan aturan yang sama. Pengamatan karantina di tingkat kebijakan bukanlah janji universal untuk penempatan folder spam.
Tinjau juga kesesuaian kebijakan. RFC 9989 bagian 7.4 menyarankan agar tidak menolak domain email tujuan umum karena rute tidak langsung yang sah, termasuk milis, dapat rusak. Tinjauan kesiapan harus mengidentifikasi rute-rute tersebut dan menilai panduan interoperabilitas yang berlaku sebelum mengusulkan kebijakan yang lebih kuat.
Pisahkan perubahan konfigurasi dari perubahan perangkat lunak atau proses. Beberapa temuan tidak memerlukan pengeditan DNS segera. Lainnya memerlukan pembaruan penyedia, perbaikan parser, atau pengujian implementasi terkontrol.
Periksa interoperabilitas dan batasan klaim kesiapan
Klaim kesiapan harus menyebutkan cakupannya. Apakah mencakup portofolio domain, penilai kebijakan, pemroses laporan, atau hanya saja sebuah rekor memeriksa? Ini adalah penilaian yang berbeda.
Gunakan register untuk melacak versi implementasi dan perbedaan yang belum terselesaikan. Pilih kasus yang berlaku dari subdomain yang ada dan tidak ada, mode penyelarasan, email tidak langsung, dan kegagalan DNS .
Perlakukan kebijaksanaan penerima sebagai bagian dari model operasi. Publikasi suatu spesifikasi tidak membuat setiap penerima berperilaku sama. Preferensi penolakan yang dipublikasikan juga bukan merupakan bukti bahwa setiap penerima menolak setiap pesan yang gagal.
Pertahankan kontrol independen terhadap akun yang disusupi, nama tampilan yang menipu, domain serupa, dan persetujuan bisnis sensitif. Kesiapan DMARC tidak mengubah autentikasi domain menjadi keputusan atas keamanan konten pesan.
Buat dan verifikasi perubahan yang diperlukan
Sebelum perubahan produksi, pertahankan keadaan sebelumnya, identifikasi aliran yang terkena dampak, dapatkan persetujuan yang sesuai, dan tentukan kondisi pemulihan. Kemudian verifikasi konfigurasi yang dipublikasikan dan pesan representatif melalui rute pengiriman lengkap.
Jika hasilnya tidak sesuai dengan perilaku yang diharapkan, jeda perluasan ke domain lain dan selesaikan atau terima secara eksplisit temuan kompatibilitas.
Untuk identitas yang mendasarinya, gunakan panduan diagnosis keselarasan. Untuk konfigurasi awal, ikuti alur kerja pembuatan dan verifikasi DMARC. Untuk lapisan pelaporan, gunakan panduan laporan agregat.
Kesimpulan praktisnya
Tutup penilaian ketika setiap temuan yang berlaku memiliki pemilik, keputusan yang didukung, dan bukti yang dapat direproduksi. Jaga agar perbedaan implementasi yang belum terselesaikan tetap terlihat, verifikasi pesan penting dan pemrosesan laporan, serta pertahankan kondisi pemulihan yang disetujui. Label kesiapan harus menunjuk pada catatan tersebut, bukan menggantikannya.