A DMARC il risultato è una categoria di diagnosi, non un'istruzione per modificare la politica pubblicata. fallire, nessuno, temperror E permerror indicano indagini diverse. Trattarli come intercambiabili può lasciare irrisolto il vero problema e indebolire inutilmente la protezione.
Inizia con le prove attendibili del sistema ricevente. UN Intestazione Authentication-Results registra l'asserzione di un sistema; la sua sola presenza non dimostra che l'affermazione sia attendibile. Identificare quale servizio ricevente lo ha generato e di quali intestazioni il servizio si fida. Questo confine è spiegato in RFC 8601 §1.2 E RFC 8601 §7.1.
Leggete insieme il metodo e il risultato
In un'intestazione contenente spf=pass; dkim=pass; dmarc=fail, le tre parole risultanti appartengono a metodi diversi. IL SPF E DKIM i passaggi possono autenticare domini che non si allineano con il dominio Da visibile. Al contrario, un passaggio DMARC può coesistere con un errore di un metodo sottostante se si allinea un altro percorso di passaggio.
Utilizzare la seguente mappa diagnostica. I significati del risultato provengono da RFC 9989 , sezione 9.2; le azioni successive sono raccomandazioni operative.
- Risultato:
dmarc=none; Interpretazione: non è stata trovata alcuna policy applicabile per il dominio dell'autore; Prima azione utile: ricostruire l'individuazione delle policy per il dominio Da effettivo - Risultato:
dmarc=pass; Interpretazione: esiste una politica applicabile e un'identità autenticata che passa è allineata; Prima azione utile: identificare il percorso di successo ed esaminare eventuali problemi di consegna separati - Risultato:
dmarc=fail; Interpretazione: esiste una politica applicabile ma non è stata stabilita alcuna identità allineata al passaggio; Prima azione utile: confronta SPF e ogni risultato DKIM rilevante con Da - Risultato:
dmarc=temperror; Interpretazione: La valutazione ha riscontrato un errore apparentemente transitorio; Prima azione utile: acquisire il DNS o l'errore del servizio e confrontare un tentativo controllato successivo - Risultato:
dmarc=permerror; Interpretazione: La valutazione ha riscontrato un errore che difficilmente potrà essere risolto semplicemente riprovando; Prima azione utile: ispezionare i dati esatti della policy e la diagnostica del ricevitore per individuare un problema di configurazione persistente
Non dedurre la causa solo dalla parola risultante. Un errore DNS temporaneo e una policy non corretta possono entrambi impedire una conclusione normale, ma richiedono proprietari diversi e un lavoro correttivo diverso. Conserva qualsiasi commento diagnostico anziché ridurre le prove a un colore sul cruscotto.
Separa dmarc=none da p=none
dmarc=none è un risultato della valutazione riportato. p=none è un valore in una policy pubblicata. Una valida politica di monitoraggio può ancora produrre entrambe le cose dmarc=pass O dmarc=fail sui singoli messaggi.
Consideriamo due casi sintetici. Nel primo, example.com pubblica un record di monitoraggio valido e un messaggio ha un passaggio allineato Firma DKIM. La valutazione DMARC prevista è superata anche se la politica non dice nulla. Nel secondo, non è possibile individuare alcuna policy applicabile per il dominio dell'autore del messaggio. Il ricevente può riferire dmarc=none; non vi è alcuna promessa di politica di monitoraggio da dedurre da quella parola.
Se un collega dice " DMARC è impostato su nessuno", chiedi se si riferisce alla politica DNS , al risultato del messaggio o alla disposizione finale. Registrateli tutti e tre separatamente. Questo breve chiarimento spesso impedisce una modifica DNS mirata al problema sbagliato.
Indagare sui fallimenti attraverso le identità
Ottenere il messaggio originale ricevuto. Registra il dominio Da visibile, l'identità e il risultato SPF e il file d= dominio e risultato per ciascuna firma DKIM pertinente. Applicare il configurato allineamento modalità di passaggio delle identità. UN selettore è un localizzatore chiave, non il dominio utilizzato per l'allineamento DKIM .
Se SPF passa per il dominio di un fornitore e DKIM passa per il dominio di un altro fornitore, nessuno dei due potrebbe allinearsi al tuo dominio Da. Modifica della radice Registro SPF non è automaticamente la soluzione. Stabilisci quale identità viene effettivamente valutata dal servizio e quali opzioni di autenticazione del dominio del cliente supporta. IL guida agli errori di allineamento attraversa quel confronto.
Indagare sugli errori senza indovinare
Per temperror, registrare l'ora del messaggio, il destinatario, il nome richiesto, l'errore e il contesto del risolutore, se disponibile. Confronta DNS autorevoli e risultati ricorsivi. Una successiva ricerca riuscita supporta una spiegazione transitoria, ma non dimostra ciò che il destinatario ha visto in precedenza. Chiedi all'operatore ricevente i log quando questa distinzione è importante.
Per permerror, recuperare il file completo pertinente registrazione TXT impostato. Controlla il nome della pubblicazione, il posizionamento della versione, i record di policy duplicati e i valori non corretti. Non promettere che ogni record non valido produca la stessa etichetta: l'attuale DMARC in RFC 9989 §4.10 E RFC 9989 §4.10.1 definisce il ripristino specifico e il comportamento predefinito per alcuni problemi di sintassi e valori delle policy e le implementazioni possono differire. Abbina la diagnostica alla regola applicabile prima di modificarla.
Conservare un campione prima e dopo. Se il nuovo tentativo ha successo, mantieni insieme la riparazione esatta e il risultato positivo. Evitare di chiudere un incidente semplicemente perché una pedina pubblica ora dà un risultato verde.
Mantenere la valutazione separata dalla consegna
Sotto RFC 9989 §5.4, un destinatario può recapitare un messaggio che non rispetta DMARC in base alle proprie regole di gestione locale e può bloccare un messaggio in transito per spam, malware o altri motivi. Raccogli la risposta SMTP o la disposizione di consegna separatamente dal risultato dell'autenticazione.
La nota finale dell'incidente dovrebbe indicare cosa è stato valutato, da quale destinatario fidato, quando, perché si è verificato il risultato e cosa è cambiato. Una conclusione precisa come "il servizio di fatturazione ora produce un passaggio DKIM allineato attraverso il suo percorso di produzione" è più utile di " DMARC fisso". Per i casi di polizza mancante, continuare con Nessun record DMARC trovato.
Rendi esplicita la decisione successiva
Nell'ambito della politica di monitoraggio, registrare p=none, dmarc=pass e disposizione effettiva come tre campi separati. Se esiste una policy valida ma entrambe le identità del meccanismo di passaggio non sono allineate, la valutazione completata avrà esito negativo. Se le query DNS richieste non vengono completate, RFC 9989 §5.3.6 impedisce una normale conclusione pass/fail. Si tratta di classificazioni analitiche, non di registri del ricevitore.