조정 중심에는 도메인 관계가 있다 DMARC. SPF 또는 DKIM From의 도메인과 적격 관계가 없는 도메인에 대해 통과할 수 있습니다. DMARC 역시 정렬되는 통과 경로가 하나 이상 필요합니다.
엄격하고 완화된 정렬은 다양한 신뢰 경계를 정의합니다. 선택은 단순히 "더 안전한" 대 "더 나은 호환성"이 아닙니다. 평가를 충족할 수 있는 제어된 도메인 관계가 결정됩니다.
비교하기 전에 도메인을 식별하세요
프로토콜 참조: RFC 9989 §3.2.2, RFC 9989 §4.4.1, RFC 9989 §4.4.2. 아래의 운영 체크리스트 및 결정은 편집 지침입니다.
각 담당자가 받은 메시지에 대해 다음을 기록합니다.
- 필드: 표시 위치; 정렬에 사용되는 도메인: 작성자 도메인 DMARC 다음을 평가합니다.
- 분야: SPF ; 정렬에 사용된 도메인: 해당 SPF 결과에 대해 인증된 봉투 도메인
- 필드: DKIM ; 정렬에 사용되는 도메인: 전달되는 각 서명의 d= 도메인
인증과 정렬은 별도의 열입니다. 먼저 SPF 인지 아니면 DKIM 서명 통과했다. 그런 다음 전달된 ID를 구성된 모드에서 작성자 도메인과 비교하십시오.
관련되지 않은 공급자 도메인에 대한 원시 패스는 유용한 프로토콜 증거로 남아 있지만 조직이 공급자와 상업 계정을 갖고 있기 때문에 정렬되지 않습니다.
엄격한 정렬에는 정확한 도메인이 필요합니다.
프로토콜 참조: RFC 9989 §3.2.10.2. 아래의 운영 체크리스트 및 결정은 편집 지침입니다.
엄격한 SPF 정렬에 따라 인증된 SPF 도메인은 작성자 도메인과 정확히 일치해야 합니다. 엄격한 DKIM 정렬에 따라 전달하는 서명의 d= 도메인은 작성자 도메인과 정확히 일치해야 합니다.
아래의 모든 설비에 대해 적용 가능한 유효한 정책, 완료된 확인 및 example.com 발견된 것으로 가정합니다. 조직 도메인. billing.example.com 의 From이 포함된 합성 메시지를 생각해 보세요.
- 경로: SPF ; 인증된 도메인: billing.example.com ; 원시 결과: 통과; 엄격한 정렬: 예
- 경로: DKIM ; 인증된 도메인: example.com ; 원시 결과: 통과; 엄격한 정렬: 아니요
이 예에서 메시지는 SPF 통해 DMARC 충족할 수 있습니다. example.com 과 billing.example.com 이 정확히 일치하지 않기 때문에 전달하는 DKIM 서명이 엄격하게 정렬되지 않습니다.
완화된 정렬은 조직-도메인 관계를 사용합니다.
프로토콜 참조: RFC 9989 §3.2.10.1, RFC 9989 §4.10.2. 아래의 운영 체크리스트 및 결정은 편집 지침입니다.
완화된 정렬은 DMARC 에서 정의한 해당 조직-도메인 관계를 수용할 수 있습니다. 이는 마지막 두 개의 레이블 바로가기가 아니며 임의의 접미사 일치도 아닙니다.
동일한 가상 작성자 도메인 billing.example.com 사용:
- 인증된 도메인: mail.example.com ; 원시 결과: 통과; 완화된 관계: 동일한 적용 가능한 조직 도메인; 해당 경로에 대한 결과: 정렬됨
- 인증된 도메인: example.com ; 원시 결과: 통과; 완화된 관계: 동일한 적용 가능한 조직 도메인; 해당 경로에 대한 결과: 정렬됨
- 인증된 도메인: example.net ; 원시 결과: 통과; 완화된 관계: 관련되지 않은 도메인; 해당 경로에 대한 결과: 정렬되지 않음
- 인증된 도메인: customer-example.com ; 원시 결과: 통과; 편안한 관계: 유사한 텍스트만; 해당 경로에 대한 결과: 정렬되지 않음
정확한 결과는 올바른 정책 도메인 처리에 따라 달라집니다. 국가 코드와 개인이 통제하는 접미사는 시각적 라벨 계산이 안전하지 않은 이유를 보여주는 예입니다.
위임된 하위 도메인을 권한으로 취급
조직이 example.com 제어하지만 campaigns.example.com 마케팅 사업부 또는 외부 플랫폼에 위임한다고 가정해 보겠습니다. 완화된 정렬 하에서 동일한 적용 가능한 조직 도메인 관계 내의 전달 ID는 다른 From 하위 도메인과 정렬될 수 있습니다.
이는 운영상 유용할 수 있습니다. 이는 또한 조직이 관련 경계 아래에 서명 ID, 봉투 도메인 및 보낸 사람 주소를 생성할 수 있는 사람을 이해해야 함을 의미합니다.
완화된 정렬이 자동으로 안전하지 않다는 위험은 없습니다. 위험은 유지된 소유권 모델 없이 하위 도메인 권한을 부여하는 것입니다. 잊혀진 위임은 기술적으로 일치된 상태를 유지하는 인증 경로가 될 수 있습니다.
두 위임 모델 비교
모델 A: 중앙에서 관리되는 하위 도메인
DNS 변경, DKIM 선택기 및 발신자 온보딩에는 중앙 승인이 필요합니다. 이 가상 모델에서는 기술적 통제가 위임된 팀이 생성할 수 있는 ID를 제한합니다. 승인 정책만으로는 그러한 제한을 설정할 수 없습니다. 완화된 정렬은 구성 마찰을 줄이는 반면 거버넌스 모델은 네임스페이스를 사용할 수 있는 사람을 제한합니다.
모델 B: 광범위한 독립적 위임
사업부 또는 공급업체는 제한된 중앙 인벤토리를 사용하여 하위 도메인 및 서명 키를 제어합니다. 완화된 정렬을 통해 관련 From 도메인에 대한 DMARC 평가와 관련된 독립적으로 운영되는 ID를 만들 수 있습니다. 엄격한 정렬은 관계를 좁히지만 알 수 없는 위임이나 손상된 키를 수정하지는 않습니다.
어떤 모델이 현실과 유사한지 확인한 후에만 정렬을 선택하십시오.
하나의 메시지를 사용하여 결과 계산
프로토콜 참조: RFC 9989 §5.3.5. 아래의 운영 체크리스트 및 결정은 편집 지침입니다.
이 가상 메시지에는 다음이 포함됩니다.
- 관찰: 부터; 값: alerts@security.example.com
- 관찰: SPF ; 값: bounce.notifications.example.com 에 대한 전달
- 관찰: DKIM 1; 값: d=notifications.example.com 으로 전달
- 관찰: DKIM 2; 값: d=mailer.example.net 으로 전달
- 관찰: aspf; 값: 초
- 관찰: adkim; 값: r
bounce.notifications.example.com security.example.com 과 정확히 일치하지 않기 때문에 SPF 엄격하게 정렬되지 않습니다. DKIM 1은 완화된 조직-도메인 관계에 따라 정렬될 수 있습니다. example.net 이 관련이 없기 때문에 DKIM 2가 정렬되지 않습니다.
따라서 메시지에는 적격 DKIM 경로가 있으며 메시지 수준에서 DMARC 전달할 수 있습니다. 이러한 결론은 정렬을 위해 두 메커니즘을 모두 필요로 하지 않으며, 관련되지 않은 두 번째 서명이 정렬된 통과 서명을 취소하지 않습니다.
신탁재고로 결정
각 도메인 패밀리에 대해 다음을 기록합니다.
- 정책 처리에 사용되는 조직 경계
- 모든 위임된 하위 도메인 및 책임 있는 소유자
- 시스템은 표시 가능한 도메인을 선택할 수 있습니다.
- 봉투 ID를 생성할 수 있는 시스템
- DKIM 키 및 선택자 소유자;
- 엄격한 정렬이 기술적으로 지원되는지 여부
- 예외 및 만료일;
- 대표자가 받은 메시지의 증거.
DNS 만으로 소유권을 추론하지 마세요. 사업주와 용도를 확인하세요.
합법적인 메일을 손상시키지 않고 정렬 변경
완화된 정렬에서 엄격한 정렬로 이동하기 전에 현재 관련되어 있지만 동일하지 않은 도메인만 통과하는 모든 경로를 테스트하세요. 일반적인 예로는 보낸 사람 하위 도메인 또는 공유 반송 하위 도메인에 대한 상위 도메인 DKIM 서명이 있습니다.
제어된 변경 계획에는 현재 및 제안된 태그, 영향을 받는 발신자, 구성 작업, 대표 테스트, 승인 및 롤백이 포함됩니다. DNS 변경 후 수신기 결과를 모니터링하고 캐시 타이밍을 허용합니다.
엄격한 조정에서 완화된 조정으로 이동하기 전에 하위 도메인 위임 및 키 소유권을 검토하세요. 변경으로 인해 적합한 도메인 관계가 확장될 수 있으므로 기술 마이그레이션과 동일한 거버넌스가 필요합니다.
세 가지 일반적인 실수를 피하세요
프로토콜 참조: RFC 9989 §8. 아래의 운영 체크리스트 및 결정은 편집 지침입니다.
첫째, 표시 이름을 비교하지 마십시오. 정렬은 인증된 경로와 작성자 도메인과 연결된 도메인을 비교합니다.
둘째, 완화된 것이 유사해 보이는 하위 도메인을 의미한다고 가정하지 마십시오. 해당하는 조직 도메인 방법을 사용하세요.
셋째, 메시지 수준 DMARC 패스를 전체 프로그램 준비 상태로 취급하지 마십시오. 또한 신뢰할 수 있는 참여에는 유지된 인증, 정책, 보고 및 소유권이 필요합니다. 정렬된 단일 경로는 모든 보낸 사람의 상태가 아니라 해당 메시지에 대한 결과를 증명합니다.
소유권 변경에 따른 조정 검토
회사 인수, 하위 도메인 위임, 이메일 플랫폼 변경, DKIM 키 순환 또는 알 수 없는 발신자 발견 시 정렬을 재평가합니다. 실제 신뢰 경계가 확장되는 동안 DNS 태그는 변경되지 않고 그대로 유지될 수 있습니다.
올바른 정렬 모드는 허용된 도메인 관계가 명시적인 현재 소유권 모델과 일치하고 합법적인 경로가 안정적인 전달 경로를 보여줄 수 있는 모드입니다.
과장하지 않고 증거를 적용하라
혼합 모드 픽스처의 경우 엄격한 SPF 도메인 비교에 실패하고 DKIM 1은 완화된 정렬 경로를 제공하고 DKIM 2는 정렬된 경로를 제공하지 않습니다. adkim만 s로 변경하면 notifications.example.com security.example.com 아니기 때문에 해당 DKIM 경로가 제거됩니다. 명시된 완료 확인 가정과 변경되지 않은 입력을 사용하면 두 메커니즘 모두 합격 정렬 경로를 제공하지 않습니다. 이는 검증 실행이 아닌 분석적 추론입니다.