Een boodschap kan voorbijgaan DMARC en nog steeds niet voldoen aan de afzendervereisten van een mailboxprovider. Dat is niet noodzakelijkerwijs een tegenstrijdigheid. DMARC beantwoordt een specifieke identiteitsvraag; een ontvanger kan ook functionerende mechanismen, veilig transport, geschikte berichtconstructie en verantwoord verzendgedrag vereisen.
Begin met het protocolbesluit
Referenties: RFC 9989 §4.1, RFC 9989 §4.4, RFC 9989 §4.10, RFC 9989 §5.3.5.
RFC 9989, gepubliceerd in mei 2026, maakt verouderde RFC's 7489 en 9091 overbodig. Volgens sectie 4.1 wordt DMARC goedgekeurd wanneer er een beleidsrecord bestaat voor het auteursdomein en dat domein overeenkomt met een geverifieerde identificatie uit het bericht. Het ‘aligned-pass’-principe blijft bestaan: er moet ten minste één ondersteund authenticatiemechanisme worden goedgekeurd uitlijning naar het zichtbare Van-domein. Voor SPF binnen DMARC is de relevante identiteit de SMTP MAIL VAN domein onder RFC 9989 §4.4.2; een op zichzelf staand HELO-gebaseerd SPF resultaat is geen vervanging voor die DMARC identiteit. Voor DKIM, het is het d= domein van een geldige handtekening. Een succesvol mechanisme zonder de vereiste uitlijning levert geen DMARC pas op. RFC 9989 paragrafen 3.2.10 en 4.1–4.3.
Uitlijning kent strikte en ontspannen modi. Strict vergelijkt de toepasselijke domeinen exact; relaxed maakt gebruik van hun relatie tussen organisatie en domein. RFC 9989 sectie 4.10 definieert DNS -boomwandeling ontdekking in plaats van de traditionele aanpak met openbare achtervoegsellijsten. Controleer de geïmplementeerde versie van de ontvanger of beoordelaar voordat u het ontdekkingsgedrag ervan overneemt. Implementeer geen ontspannen uitlijning door te controleren of de ene domeinstring alleen maar eindigt met een andere. Een misleidend achtervoegsel of een onjuiste berekening van het organisatiedomein kan tot het verkeerde resultaat leiden.
Voeg de providervereisten toe als een aparte laag
Microsoft's consumentenondersteuning voor grote volumes vereist dat zowel SPF als DKIM slagen, plus DMARC . De bulkvereisten van Yahoo vereisen beide mechanismen en het doorgeven van DMARC . Dit zijn operationele poorten als aanvulling op de logica van het protocol. Bekijk de huidige bron voor het doel in plaats van een universele regel van één provider af te leiden. Microsoft-ondersteuning En Yahoo -vereisten.
Maak één kolom voor het DMARC -resultaat en afzonderlijke kolommen voor vereiste authenticatie, DNS , transport, opmaak en afmeldingsopties. Een algehele groene indicator zonder deze kolommen maakt het moeilijk om te bepalen of de software het protocol, een checklist van een provider of alleen de gepubliceerde DNS syntaxis evalueert.
Gebruik een waarheidstabel om het verschil bloot te leggen
Referenties: RFC 9989 §5.3.5.
Het privébeoordelingspakket bevat een synthetisch armatuur met twee behuizingen. Ten eerste slagen SPF en DKIM beide, maar geen van beide komt overeen: DMARC faalt. Ten tweede faalt SPF terwijl DKIM passeert en uitlijnt: DMARC passeert. In het tweede geval kan het nog steeds mislukken bij een providerpoort die onafhankelijk SPF succes vereist.
Deze invoer is met opzet eenvoudige booleans en geen implementatie van DNS Tree Walk-detectie, oudere op openbare achtervoegsels gebaseerde detectie, SPF evaluatie of DKIM cryptografie. In beide gevallen wordt ervan uitgegaan dat er een toepasselijk DMARC -beleidsrecord bestaat. Ze maken het logische onderscheid reproduceerbaar zonder de pretentie te hebben een aanbieder te testen. In een echt onderzoek vervangt u elke booleaanse waarde door een vertrouwd waargenomen resultaat en de geëvalueerde identiteit ervan.
Verwar publicatie niet met evaluatie
Referenties: RFC 9989 §5.4.
Publiceren p=none stelt een gevraagd monitoringbeleid in, en niet een succesvol berichtauthenticatieresultaat. Het publiceren van een openbare DKIM sleutel ondertekent uitgaande e-mail niet. Het toevoegen van een SPF record bewijst niet dat de daadwerkelijke verbinding een geautoriseerd adres gebruikte. Elk configuratie-artefact heeft een corresponderende observatie nodig van de beoogde verzendroute.
Op dezelfde manier gaat u van p=none naar p=reject herstelt de uitlijning niet. Het verandert de door de domeineigenaar gevraagde afhandeling van fouten. Inventariseer legitieme routes voordat u de handhaving wijzigt, zorg voor een terugdraaiplan en evalueer het effect op indirecte stromen. De curator hanteert nog steeds zijn eigen lokale dispositiebeleid; een aangevraagde DMARC -actie is geen leveringsgarantie.
Bouw een nuttig afsluitingsrecord op
Referenties: RFC 8601 §5.
Bewaar voor elk onderzocht monster Van, envelopafzender, verbindend IP-adres, DKIM ondertekenaar en keuzeschakelaar, mechanismeresultaten, uitlijningsmodus en uiteindelijke ontvangstreactie. Identificeer de vertrouwde bron van die resultaten. Accepteer geen willekeurig gekopieerde headers als gezaghebbend, alleen maar omdat ze het woord ‘pass’ bevatten.
Sluit de protocolbevinding en de providernalevingsbevinding afzonderlijk. Dit maakt het mogelijk om nauwkeurig te zeggen dat DMARC geslaagd is terwijl een andere vereiste onopgelost bleef, en om de correctie aan de juiste eigenaar toe te wijzen zonder niet-gerelateerde controles te verzwakken.