두 당사자가 보고 관계를 형성합니다.
도메인에 보고 대상 게시 DMARC 정책은 도메인 소유자의 요청을 표현합니다. 결과 보고서를 수락하기 위해 관련 없는 대상을 일방적으로 요구하지 않습니다. 외부 대상 확인 원하지 않는 보고 대상으로 수신자가 선택되지 않도록 보호합니다. 수신 측에서는 DNS 통해 권한을 게시하고 보고 측에서는 외부 대상을 사용하기 전에 해당 권한을 확인합니다.
RFC 9990 해당되는 경우 검증 절차를 적용합니다. 조직 도메인 비교는 집계 보고의 외부 대상을 보여줍니다. 보낸 사람 주소와 보고서 주소의 문자열이 다르다는 단순한 테스트로 해당 규칙을 바꾸지 마십시오. 검색된 정책 도메인, 대상 호스트 및 조직 도메인 컨텍스트는 확인 수행 결정을 재현할 수 있도록 유지되어야 합니다. RFC 9990 , 섹션 4
올바른 순서로 소유자 이름을 구성하십시오.
보고 URI에서 대상 호스트를 추출합니다. _report를 앞에 추가하세요. _dmarc 그런 다음 정책이 검색된 도메인 이름을 앞에 추가하고 필요한 경우 해당 도메인을 A-레이블로 변환합니다. 결과 DNS 소유자의 형식은policy-domain._report입니다. _dmarc.destination-host. 에 대해 쿼리됩니다. TXT 레코드. 생성된 이름이 DNS 제한을 초과하는 경우 긍정적인 승인 결정을 내릴 수 없습니다.
이 구성에서는 정책이 검색된 실제 도메인을 사용합니다. 단지 상위가 조직의 브랜드와 비슷해 보인다는 이유만으로 친숙한 상위로 단축하지 마십시오. 마찬가지로 mailto 주소의 로컬 부분은 DNS 소유자 이름에 삽입되지 않습니다. 원래 URI와 구문 분석된 대상 호스트를 보존하여 검토자가 입력에서 생성된 이름이 어떻게 이어지는지 확인할 수 있습니다. RFC 9990 , 섹션 4
익숙한 문자열을 인식하는 대신 응답의 유효성을 검사합니다.
반환된 레코드는 태그 값 목록으로 구문 분석됩니다. 필수 v=DMARC1 태그가 먼저 나타나야 하며 후행 세미콜론은 선택 사항입니다. 지정된 구문 분석 테스트에 실패한 레코드는 삭제됩니다. 최소한 하나의 남은 적격 기록이 해당 절차에 따른 외부 보고 방식을 확립합니다. 빈 답변, 관련 없는 TXT 값 또는 기록 버전 배치가 잘못되면 권한이 설정되지 않습니다.
DMARC 버전 값은 대소문자를 구분합니다. DMARC1 필수 값이며 소문자 근사값이나 새로 개발된 프로토콜 버전이 아닙니다. DNS 이름 비교 규칙을 버전 값의 대/소문자 요구 사항과 혼동해서는 안 됩니다. 검토에서는 검증 전에 세부 사항을 정규화하는 대신 정확한 답변 바이트와 기록 경계를 보존해야 합니다. RFC 9990 , 섹션 4; RFC 9989 , 섹션 4.7 및 4.8
무시 및 실패 동작 존중
승인 레코드는 절차에 따라 보고 대상 재정의를 제공할 수 있습니다. 재정의 URI는 처음에 추출된 동일한 대상 호스트를 사용해야 합니다. 이러한 제한은 인증 응답이 프로세스를 관련 없는 수신자 체인으로 리디렉션하는 것을 방지합니다. 확인에 다른 호스트를 사용한 재정의가 포함된 경우 보고서 생성기는 원래 URI 또는 재정의 URI에 대한 보고서를 생성해서는 안 됩니다.
확인을 통해 인증이 확인되지 않으면 외부 URI를 무시해야 합니다. 일시적인 DNS 오류에는 고유한 처리 방법이 있습니다. 수신자는 나중에 확인 테스트를 반복할 수 있도록 일시적으로 전달을 실패하도록 선택할 수 있습니다. 보편적인 재시도 보장이나 테스트된 구현에 대한 설명이 아닌 해당 권한을 'MAY'로 유지하세요. 성공적인 DNS 검사는 여전히 대상 사서함이 존재하는지 여부를 입증하지 못하며, 보고서 크기를 수락하거나 의도한 고객 대시보드에 피드를 제공하지 않습니다. RFC 9990 , 섹션 4
집계 보고서 요청과 실패 보고서 요청 구별
을 위한 집계 보고서, 절차는 루아와 연결되어 있습니다. 실패 보고는 다음에 별도로 지정됩니다. RFC 9991. 외부 실패 보고 대상의 경우 해당 문서에는 rua가 나타날 때마다 ruf가 대체된 동일한 외부 확인 절차가 필요합니다. 집계 보고서가 흐르고 있다는 이유만으로 실패 보고를 자동으로 활성화된 것으로 처리하거나 별도의 보고서 유형을 승인하지 않고 집계 대상 처리를 복사하지 마십시오.
실패 보고서 콘텐츠가 집계된 요약보다 더 자세할 수 있으므로 추가적인 데이터 노출 문제가 발생합니다. 올바른 DNS 인증 기록은 어떤 데이터를 누구와 어떤 목적으로 공유할지에 대한 조직의 결정을 대신할 수 없습니다. 이 원고는 실제 보고서를 요청, 전송 또는 업로드할 수 있는 권한을 제공하지 않습니다. 실제 설정은 해당 개인 정보 보호, 수신자 및 운영 승인을 충족해야 합니다. RFC 9991 , 섹션 5 및 7
가상 구성 및 수용 워크시트
blue.example.com 에서 가상의 정책을 검색하고 mailto:reports@red.example.net. 구성된 인증 소유자는 blue.example.com._report._dmarc.red.example.net 입니다. 전체 값이 v=DMARC1; 인 가상 TXT 답변입니다. 그림에 표시된 버전 우선 요구 사항을 충족합니다. DNS 쿼리가 실행되지 않았으며 이 예에서는 해당 이름에 기록이 게시되어 있다고 주장하지 않습니다.
워크시트에는 정책 조회 결과, 발견된 정책 도메인, 원본 보고 URI, 대상 호스트, 조직-도메인 비교, 구성된 소유자, 쿼리 유형, 타임스탬프, 정확한 반환 레코드 및 구문 분석 결과가 유지되어야 합니다. 재정의에 대해 별도의 필드를 추가하고 호스트 제한을 확인하세요. 검토자는 공급자 스크린샷이나 DNS 편집자의 약식 표시에 의존하지 않고 이름을 재구성할 수 있어야 합니다.
수집을 위해 두 번째 승인 섹션(의도 계정, 대상 사서함, 승인된 보고서 유형 및 파이프라인 소유자)을 사용합니다. 이러한 필드는 완료된 수집 증거가 아닌 계획된 확인 워크플로를 설명합니다. DNS 관계 결과를 수신, 구문 분석, 테넌트 속성 및 대시보드 프레젠테이션과 구별되도록 유지하세요. 컬렉션 경로의 다른 부분이 확인되지 않은 상태로 남아 있는 동안 권한 확인이 성공할 수 있습니다.
게시 및 구현 보류
카탈로그에는 원본 및 대상 도메인에서 정확한 인증 조회를 구성하고 해당 답변을 확인해야 합니다. 이 초안은 가상의 구성만을 제공합니다. 실제 답변, 원본 쿼리 기록 및 수신 도메인 구현은 계속 열려 있습니다. DNS 레코드가 게시되지 않았고 사서함에 액세스되지 않았으며 보고서가 전송되지 않았습니다.
운영 연습으로 출시하기 전에 정확한 프로덕션 관계에 대한 승인된 증거를 확보하고 자격을 갖춘 검토자가 정책 검색 컨텍스트, 버전 구문 분석 및 재정의 처리를 확인하도록 하십시오. 원본 날짜를 유지하고 표준 요구 사항을 공급자별 계정 온보딩과 구별합니다. 원본 증거, 인적 검토, 소스 적용 가능성, 생산 경로, 시각적 접근성 및 소유자 공개를 포함하여 6개의 공개 게이트는 모두 열려 있습니다.
나중에 대상 또는 정책 검색 도메인을 변경하면 필요한 권한 부여 소유자가 변경될 수 있습니다. 기존의 긍정적인 확인이 모든 향후 보고 주소를 포함한다고 가정하는 대신 이를 확인하기 위한 새로운 범위 관계로 취급합니다. 유용한 결과는 단순히 복사된 TXT 값이 아니라 감사 가능한 권한 체인입니다.