UN SPF pass può essere completamente corretto senza fare nulla per autenticare l'indirizzo visualizzato dal cliente. Il server di invio può essere autorizzato per il dominio della busta di un fornitore mentre il Da visibile utilizza il dominio aziendale. DMARC chiede se un'identità di autenticazione che passa è in linea con il dominio dell'autore.
Questo è un problema di identità, non necessariamente un problema di IP mancante. Inizia con i domini nel messaggio effettivamente ricevuto prima di estendere le autorizzazioni SPF .
Confronta tre osservazioni separate
Registra il dominio Da visibile, il dominio SPF valutato e il dominio in ogni passaggio Firma DKIM'sd= campo. Registrare il risultato del ricevitore per ciascun meccanismo separatamente. Non dedurre allineamento da un SPF verde o DKIM badge che nasconde il dominio valutato.
RFC 9989 sezione 4.4.2 definisce l'allineamento SPF . Un allineamento rigoroso richiede che i domini SPF e autore corrispondano esattamente sotto RFC 9989 §3.2.10.2. L'allineamento rilassato utilizza la scoperta del dominio organizzativo in RFC 9989 §4.10.2. Non consente alcun dominio di proprietà di un fornitore con il quale hai un contratto.
Esempio realizzato: un passaggio corretto senza allineamento
Quello che segue è un dispositivo diagnostico sintetico che presuppone una politica DMARC applicabile. Viene visualizzato un messaggio Da: accounts@example.com . Suo MAIL DA è delivery@vendor.example.net . L'IP di connessione è 192.0.2.17 . La politica sulla busta del fornitore è v=spf1 ip4:192.0.2.17 -all, quindi SPF passa.
Supponiamo che i domini organizzativi siano example.com ed example.net . Differiscono, quindi il percorso SPF non si allinea in modalità rilassata o rigorosa. Se DKIM passa anche solo con d=vendor.example.net, nessuna delle due identità di passaggio si allinea. DMARC pertanto non dispone di un percorso allineato di passaggio RFC 9989 §5.3.5. Aggiungendo quell'IP a example.com Registro SPF non cambia il fatto che questa transazione ha utilizzato vendor.example.net .
Consideriamo ora una busta personalizzata supportata di return@bounce.example.com . Se SPF passa per bounce.example.com e sia esso che example.com hanno scoperto lo stesso dominio organizzativo, l'allineamento SPF rilassato può passare. L'allineamento rigoroso non funziona ancora perché i nomi differiscono. In alternativa, una firma DKIM passata con d=example.com può fornire un percorso DKIM allineato.
Scegli una correzione supportata
Chiedi alla documentazione del servizio o all'amministratore se supporta un dominio MAIL FROM personalizzato, DKIM allineato o entrambi. Ottieni gli esatti valori DNS generati dal servizio. Un'inclusione SPF generica non configura di per sé una busta personalizzata e la creazione manuale dell'indirizzo di ritorno del provider può interrompere la gestione del mancato recapito.
Scegli la correzione che si adatta al flusso di lavoro e alla tua politica. Una distribuzione DKIM allineata spesso fornisce un'utile resilienza attraverso l'inoltro, sebbene le modifiche ai contenuti coperti possano compromettere le firme RFC 6376 §3.7. Se utilizzi MAIL FROM personalizzato, prova la busta effettiva una volta completata la configurazione dei report del provider. È necessario verificare la disponibilità del prodotto e i passaggi di configurazione per il prodotto e l'account in uso.
Non allentare l'allineamento solo per rimuovere un avvertimento senza comprendere il confine che crea. Al contrario, non selezionare un allineamento rigido come segno di sicurezza se i mittenti di sottodomini legittimi sono stati intenzionalmente progettati per un allineamento rilassato. Documentare il motivo per cui la relazione di identità scelta è accettabile.
Testare nuovamente il percorso, non solo DNS
Invia un messaggio di rappresentanza a una casella di posta dove puoi controllare i risultati del destinatario attendibile. Testare il tipo di notifica non riuscita, poiché i prodotti di marketing e transazionali di un fornitore potrebbero utilizzare identità diverse. Acquisisci la nuova busta, il risultato SPF , il dominio di firma DKIM e il risultato DMARC .
Se la posta diretta funziona ma la posta inoltrata no, esamina quel percorso separatamente. Non considerare una correzione DNS non riuscita semplicemente perché un filtro dei contenuti non correlato inserisce comunque il messaggio nello spam. I risultati dell'autenticazione e il posizionamento della cassetta postale sono risultati distinti.
Il pratico takeaway
Una diagnosi utile nomina il dominio che passa e mostra perché si allinea o meno. Ripara l'identità di invio supportata, quindi verifica un messaggio reale. Autorizzazioni SPF più ampie sul dominio sbagliato non possono colmare un divario di allineamento.
Mantenere la decisione riproducibile
Utilizzare una riga per identità di passaggio e relativa modalità di allineamento. Con solo il passaggio vendor.example.net per From= example.com , contrassegna entrambi i passaggi grezzi come non allineati anziché unire un risultato a un altro dominio. Se anche d=example.com verifica, registra il percorso DKIM allineato separato. Testare il comportamento personalizzato MAIL FROM in modo indipendente anche se DMARC complessivo è già superato.