A DMARC TXT waarde met de verkeerde naam kan perfect worden geschreven en toch niet relevant zijn voor het bericht dat u onderzoekt. Voordat u het beleid wijzigt, moet u bewijzen dat de ontvanger het kan ontdekken voor het domein dat wordt gebruikt in het zichtbare Van-adres.
Een veel voorkomende valkuil is het testen van het domein van de bedrijfswebsite terwijl de applicatie als subdomein verzendt. Een andere is het invoeren van een volledig gekwalificeerde naam in een DNS veld waaraan de zonenaam wordt toegevoegd. De oplossing is een exacte naamvergelijking, gevolgd door gezaghebbend DNS bewijs.
Leid de opzoeknaam af uit het bericht
Neem een ontvangen bericht uit de betrokken workflow en identificeer het domein in het Van-adres. Voor een synthetisch bericht van notices@billing.example.com wordt bij de initiële beleidsdetectie TXT opgevraagd op _dmarc.billing.example.com . Een record op example.com , www.example.com of het niet-gerelateerde domein van de verzendende leverancier is niet dezelfde zoekopdracht. Als de eerste zoekopdracht geen geldig beleid vindt, kan de detectie worden voortgezet onder de toepasselijke DMARC regels. RFC 9989 , sectie 4.10.1.
Vervang de Return-Path domein voor het zichtbare Van-domein. Onder RFC 7208 §2.4, de identiteit van de envelop is van belang SPF, maar het bepaalt niet deze initiële DMARC -beleidszoekopdracht. Bewaar de twee velden in afzonderlijke kolommen terwijl u het probleem diagnosticeert.
Schrijf de verwachte absolute eigenaarnaam voordat u de DNS editor opent. Deze kleine stap voorkomt dat de labels van de gebruikersinterface de bron van de waarheid worden.
Zoek de gezaghebbende zone en het invoermodel
Identificeer welke naamservers bedienen momenteel de betreffende zone. Een registraraccount, hostingdashboard of eerder gebruikte DNS service kunnen records weergeven die niet langer gezaghebbend zijn. Als billing.example.com is gedelegeerd, stel dan vast wie die onderliggende zone beheert voordat u de bovenliggende zone bewerkt.
Controleer de Help van de redacteur voor het veld Naam of Host. Sommige interfaces accepteren relatieve namen; sommigen accepteren volledige namen en normaliseren deze. Een zone-file-conventie is geen belofte over een webformulier. In DNS masterbestanden is een naam die eindigt op een punt absoluut, terwijl een relatieve naam wordt geïnterpreteerd op basis van de huidige oorsprong. RFC 1035 , sectie 5.1.
Als gedocumenteerd UI-voorbeeld zegt de huidige recordworkflow van Cloudflare dat u het recordtype moet kiezen en de vereiste velden moet invullen, die per record verschillen. Gebruik de huidige recordinstructies van de provider en verifieer het opgeslagen resultaat in plaats van het veldgedrag van een andere provider erop te projecteren. Cloudflare DNS recordbeheer.
Werk door het hoofdlettergebruik met dubbele naam
Overweeg een illustratieve editor die is geconfigureerd voor zone example.com en die de zone aan elke relatieve naamwaarde toevoegt. Als u _dmarc.example.com als relatieve waarde invoert, wordt _dmarc.example.com.example.com gecreëerd. Een validator die op die toevallige naam wijst, kan een record vinden, terwijl de beoogde zoekopdracht _dmarc.example.com er geen heeft.
Vergelijk drie items expliciet:
- Beoogde absolute eigenaar: _dmarc.example.com .
- Opgeslagen eigenaar weergegeven door de DNS service of zone-export.
- Gezaghebbende TXT -antwoorden voor zowel de beoogde als de vermoedelijke toevallige namen.
Als het antwoord met de verkeerde naam het beoogde beleid bevat, bewaar dit dan als bewijs. Publiceer of corrigeer het goedgekeurde record bij de beoogde eigenaar en zorg ervoor dat u daar geen tweede DMARC kandidaat introduceert. Verwijder het foutieve record via de normale wijzigingscontrole, nadat u hebt gecontroleerd of het geen afzonderlijk bedoeld gebruik heeft. Behandel een voorbeeldnaam uit dit artikel niet als uw productiedomein.
Controleer de reparatie zonder valse deadline
Vraag bij de gezaghebbende dienst naar de exacte eigenaar en het recordtype. Vergelijk vervolgens het antwoord van een recursieve oplosser, waarbij u de tijdstempel, de reactiestatus en TTL noteert. Als de beoogde naam voorheen niet bestond, kan een negatieve cache dat eerdere resultaat blijven retourneren gedurende de resterende levensduur. Een nieuw gekozen positieve TXT TTL wist een oudere negatieve cache niet. RFC 2308 §3, RFC 2308 §4 En RFC 2308 §5.
Het in aanmerking komende gebruik van verouderde antwoorden kan doorgaan na de TTL-vervaldatum onder RFC 8767 §4TTL is dus geen mondiale convergentiedeadline. Een melding voor het opslaan van een dashboard bevestigt de formulieractie, niet de globale zichtbaarheid. Op dezelfde manier bewijst een correct openbaar DNS antwoord niet dat uw service e-mail ondertekent met een afgestemd domein. Stuur een nieuw bericht via de oorspronkelijke route en inspecteer het vertrouwde resultaat van het ontvangende systeem.
Sluit het naamgevingsprobleem afzonderlijk van e-mailauthenticatie
Bewaar de oorspronkelijke naam van de eigenaar, de gecorrigeerde eigenaar, de goedgekeurde waarde en de testtijdstempels in het wijzigingsrecord. Als DMARC nu van toepassing is maar de melding mislukt, ga dan verder met identiteits- en afstemmingsdiagnose. Dat is vooruitgang: het record kan worden gevonden en het resterende probleem behoort tot het verzendpad.
Als ontvangers nog steeds ander beleid blijken te ontdekken, vergelijk dan hun waargenomen From-domeinen, DNS antwoorden en implementatiegedrag. Blijf niet een correct record tussen namen verplaatsen alleen maar om twee niet-verwante schijven met elkaar in overeenstemming te brengen.
Leg een besluit vast dat kan worden herzien
Vergelijk voor het armatuur met dubbele naam de beoogde en opgeslagen absolute namen voordat u de TXT waarde wijzigt. Een geldig beleid gevonden bij de toevallige eigenaar geeft niet aan dat de beoogde eerste zoekopdracht dit beleid ook vindt. Bewaar de toevallige registratie als bewijs en gebruik vervolgens afzonderlijk goedgekeurde correctie- en verwijderingsacties. Dit is een illustratief editormodel, en geen claim dat Cloudflare op die manier namen toevoegt of dat er een DNS wijziging is doorgevoerd.