Publiceren van een DMARC record wijzigt het beleid en de rapportage-informatie die deelnemende ontvangers voor een domein kunnen ontdekken. Het configureert niet SPF, toevoegen DKIM handtekeningen, legitieme afzenders inventariseren of elke ontvanger dwingen dezelfde bezorgbeslissing te nemen.
Beschouw de DNS -wijziging als één stap in een gecontroleerd programma. De veilige wijziging is afhankelijk van bewijsmateriaal uit de echte verzendroutes van het domein.
Aparte publicatie vanaf gereedheid
Protocolreferenties: RFC 9989 §4.5, RFC 9989 §4.4.1, RFC 9989 §4.4.2, RFC 9989 §5.3.8. De onderstaande operationele checklists en besluiten zijn redactionele richtlijnen.
Een DMARC record wordt gepubliceerd onder een toepasselijke DNS naam _dmarc . Het beleid kan geen verzoeken indienen, de behandeling in quarantaine plaatsen of de behandeling weigeren voor berichten die niet slagen DMARC onderzoek. Het record kan ook rapporten opvragen en andere actieve parameters instellen.
Publicatie zorgt er niet voor dat een afzender op één lijn komt te staan. SPF uitlijning hangt af van de geverifieerde envelopidentiteit en het Van-domein. DKIM uitlijning is afhankelijk van het d=-domein van een passerende handtekening en het Van-domein. Ten minste één passerend uitgelijnd pad kan voldoen aan een resultaat op berichtniveau. Volledige deelname vereist zowel afgestemde SPF als DKIM RFC 9989 §8; domeinen afwijzen MOETEN NIET uitsluitend op SPF vertrouwen en MOETEN geldige DKIM -handtekeningen toepassen onder RFC 9989 §7.4.
Een record die om afwijzing vraagt voordat legitieme routes klaar zijn, kan die routes blootstellen aan actie van de ontvanger. Een record dat niet om beleidsspecifieke afhandeling vraagt, kan monitoring ondersteunen, maar het is niet gegarandeerd dat rapporten elk bericht of elke ontvanger bestrijken.
Bouw een gereedheidsmatrix per afzender
Het volgende is een illustratief bedieningssjabloon, geen claim over een echte omgeving:
- Afzender: Bedrijfspost; Bedrijfseigenaar: Werkplek-IT; Van domein: example.com ; Uitgelijnde SPF waargenomen: Ja; Uitgelijnde DKIM waargenomen: Ja; Representatieve test: Huidig; Handhavingsbereidheid: Bewijs beschikbaar; onderworpen aan een volledige beoordeling van de gereedheid
- Afzender: Factureringsplatform; Bedrijfseigenaar: Financiële systemen; Van domein: billing.example.com ; Uitgelijnde SPF waargenomen: Nee; Uitgelijnde DKIM waargenomen: Ja; Representatieve test: Huidig; Gereedheid voor handhaving: pad op berichtniveau waargenomen; De bredere paraatheid moet worden herzien
- Afzender: oude waarschuwingen; Bedrijfseigenaar: Infrastructuur; Van domein: example.com ; Uitgelijnde SPF waargenomen: Nee; Uitgelijnde DKIM waargenomen: Nee; Representatieve test: Huidig; Handhavingsgereedheid: Niet gereed
- Afzender: Seizoensenquête; Bedrijfseigenaar: Marketing; Van domein: news.example.com ; Uitgelijnde SPF waargenomen: onbekend; Uitgelijnde DKIM waargenomen: onbekend; Representatieve test: ontbreekt; Handhavingsbereidheid: vasthouden en onderzoeken
'Ja' moet afkomstig zijn van bewijs van ontvangen berichten, en niet van een bewering van het controlepaneel. ‘Onbekend’ is niet hetzelfde als ‘Nee’. Het betekent dat de eigenaar van de wijziging onvoldoende bewijs heeft om de handhavingsbeslissing te nemen.
Noteer het beleidsverschil
Leg de exacte naam DNS eigenaar, eerdere waarde, voorgestelde waarde, observaties van de oplossing, wijziging van eigenaar en goedkeuring vast. Een eenvoudig fictief verschil zou kunnen zijn:
- Veld: Eigenaar; Voorheen: _dmarc.example.com ; Voorgesteld: _dmarc.example.com
- Veld: Beleid; Voor: p=none; Voorgesteld: p=quarantine
- Veld: Geaggregeerde rapportage; Voorheen: bestaande geautoriseerde bestemming; Voorgesteld: ongewijzigd
- Veld: Subdomeinbeleid; Vroeger: geërfd van p; Voorgesteld: expliciet beoordeeld
- Veld: Testvlag; Voorheen: niet aanwezig; Voorgesteld: Niet aanwezig
Het gaat er niet om een specifiek doelbeleid te bevorderen. Het is bedoeld om elke semantische verandering zichtbaar te maken. Als het record ook de rapportagebestemmingen, uitlijningsmodi, subdomeinbehandeling of een testmarkering wijzigt, bekijk deze beslissingen dan afzonderlijk.
Begrijp wat het beleid vraagt
Protocolreferenties: RFC 9989 §4.7, RFC 9989 §5.4. De onderstaande operationele checklists en besluiten zijn redactionele richtlijnen.
Een beleid is de door de domeineigenaar gevraagde beoordeling voor e-mail die DMARC niet haalt. Ontvangers behouden hun discretie en kunnen gebruik maken van lokaal beleid, aanvullend bewijsmateriaal en uitzonderingen. Een gepubliceerd p=reject waarde garandeert daarom niet dat elk falend bericht wordt afgewezen, en een p=none waarde garandeert geen bezorging.
Ook bepaalt de ontvanger of hij de betreffende specificatie- en rapportagegedragingen implementeert. Monitor daadwerkelijke resultaten in plaats van een DNS string om te zetten in een universele belofte.
RFC 9989 omvat de actieve t-testvlag. Wanneer t=y wordt toegepast, is het gedefinieerde effect een reductie van één niveau in de gedeclareerde p-, sp- of np-beoordeling: afwijzing wordt behandeld als quarantaine en quarantaine als geen. Het is geen willekeurige uitrol van een percentage, en het verandert niets aan een verklaarde 'geen'-beoordeling. De implementatie van de ontvanger is nog steeds van belang.
Weet wat publicatie niet oplost
Het publiceren DMARC betekent niet:
- meerdere SPF -beleidsregels samenvoegen;
- voeg een toe DKIM -handtekening op een aanvraag;
- de envelop van een dienst of het ondertekeningsdomein wijzigen;
- bewijzen dat elke waargenomen bron legitiem is;
- bescherm weergavenamen op niet-gerelateerde domeinen;
- doorstuur- of mailinglijsttransformaties repareren;
- garantierapportlevering;
- plaatsing van de inbox instellen;
- toestemming geven voor een zakelijke transactie.
Elke opening heeft zijn eigen eigenaar nodig. Het DMARC record beschrijft een domeinbeleid; het is geen orkestratieopdracht voor elke verzendende toepassing.
Goedkeuren van handhaving op basis van representatief bewijsmateriaal
Een handig goedkeuringsrecord vermeldt de domeinen die binnen het bereik vallen, de inventarisversie van de afzender, de bewijsdatum, de onopgeloste uitzonderingen, het doelbeleid, de terugdraaicriteria en de verantwoordelijke goedkeurder. Voeg afzenders met een laag volume, geplande afzenders en noodafzenders toe. Een week zonder waargenomen storing is niet voldoende als er nooit gebruik is gemaakt van kwartaal- of jaarsystemen.
Gebruik een representatief ontvangen bericht van elke route. Registreer het Van-domein, de identiteit van de envelop, DKIM d=-waarden, vertrouwde resultaten en uitlijning. Geaggregeerde rapporten kunnen helpen bij het identificeren van patronen, maar ze zijn geen vervanging van de bevestiging door de eigenaar of het testen op berichtniveau.
Indirecte poststromen verdienen aparte aandacht. Doorsturen en berichtwijzigingen kunnen SPF en DKIM verschillend beïnvloeden. Los een bekende doorstuuruitzondering niet op door de authenticatie van een niet-gerelateerde afzender zonder bewijs te verzwakken.
Controleer na de DNS wijziging
Na publicatie:
- Vraag de exacte naam van de eigenaar op via onafhankelijke solvers.
- Bevestig dat één coherent DMARC beleidsrecord vindbaar is.
- Houd rekening met DNS caching voordat u gemengde waarnemingen interpreteert.
- Verstuur gecontroleerde tests via representatieve routes.
- Controleer de resultaten van de ontvanger, niet alleen de uitgaande applicatielogboeken.
- Vergelijk fouten met de goedgekeurde afzenderinventaris.
- Houd zakelijke ondersteuningskanalen in de gaten voor vertraagde of onderbroken routes.
Het observatievenster moet betekenisvolle bedrijfscycli bestrijken. Stel expliciete stopvoorwaarden in, in plaats van een willekeurig aantal dagen te wachten.
Definieer het terugdraaien vóór handhaving
Protocolreferenties: RFC 9990 §4. De onderstaande operationele checklists en besluiten zijn redactionele richtlijnen.
Rollback is een gecontroleerde DNS wijziging, geen verwijdering zonder analyse. Leg de priorwaarde en de voorwaarde vast die een beleidsverlaging rechtvaardigt. Een terugdraaiing kan het beleid beperken terwijl de getroffen afzender wordt gerepareerd, maar het moet bewijsmateriaal behouden en voorkomen dat er meerdere records worden geïntroduceerd.
Als rapportagebestemmingen zich buiten het beleidsdomein bevinden, zorg er dan voor dat de vereiste autorisatie aanwezig is. Een meldingsfout moet worden onderzocht, maar het ontbreken van meldingen alleen bewijst niet dat het beleid niet wordt geëvalueerd.
Behandel publicatie als een bestuurlijk besluit
De DNS eigenaar voert de wijziging uit. E-mailbewerkingen valideren de authenticatie. Applicatie-eigenaren bevestigen legitieme routes. Beveiliging accepteert resterende imitatie- en leveringsrisico's. Bedrijfseigenaren zijn het eens met het effect op kritische communicatie.
Deze scheiding verhindert dat een enkele TXT -bewerking stilletjes de verantwoordelijkheid draagt voor applicaties die hij niet kan configureren en voor beslissingen van ontvangers die hij niet kan controleren.
Pas het bewijs toe zonder het te overdrijven
Houd in de fictieve gereedheidsmatrix de historische en seizoensroutes vast voor onderzoek. De afgestemde DKIM observatie van Billing toont een mogelijk pad op berichtniveau aan, en niet volledige deelname of goedkeuring van de eigenaar. Leg het ontbrekende bewijs vast voordat u beleid kiest. Geen van de geïllustreerde DNS wijzigingen of -verzendingen zijn uitgevoerd.