Aby bezpiecznie skonfigurować DMARC , najpierw opublikuj zapis monitorowania, użyj jego raportów do uwierzytelnienia każdego legalnego źródła wysyłania, a następnie stopniowo podnoś zasadę od żadnej do kwarantanny, aby odrzucić. Kolejność ma znaczenie: egzekwowanie prawa przed przekazaniem źródeł zablokuje prawdziwą pocztę. Robiąc to po kolei, uzyskasz pełną ochronę bez zakłócania dostawy.
Zanim zaczniesz
DMARC zależy od SPF i DKIM , więc najpierw upewnij się, że oba istnieją. SPF ( RFC 7208 ) zawiera listę adresów IP i usług, które można wysyłać dla Twojej domeny w rekordzie TXT . DKIM dodaje podpis kryptograficzny publikowany jako klucz publiczny w DNS . Potrzebujesz, aby co najmniej jeden z nich przeszedł i był ustawiony, aby DMARC przeszedł, a najlepiej oba. Zwróć także uwagę na limit wyszukiwania DNS SPF 10: rekord SPF , który wyzwala więcej niż dziesięć wyszukiwań DNS , kończy się niepowodzeniem, co następnie zakłóca wyrównanie DMARC .
Krok po kroku
- 1
1. Opublikuj zapis monitoringu
Dodaj rekord TXT w _dmarc z v=DMARC1; p=none; rua=mailto:rua@example.com. Gromadzi to dane bez wpływu na dostawę.
- 2
2. Zbieraj raporty
Poczekaj od dwóch do czterech tygodni i przeczytaj raporty zbiorcze ( RUA ), aby zobaczyć, że każde źródło wysyłane jest jako Twoja domena.
- 3
3. Uwierzytelnij każde źródło
Dla każdego legalnego nadawcy skonfiguruj SPF i DKIM , aby przechodził i był zgodny z Twoją domeną Od.
- 4
4. Przejdź do kwarantanny
Gdy legalna poczta jest przekazywana stale, ustaw p=quarantine, opcjonalnie używając pct do stopniowego zwiększania wartości.
- 5
5. Przejdź do odrzucenia
Gdy kwarantanna nie wykaże żadnych błędów w prawidłowej poczcie, ustaw p=reject aby uzyskać pełną ochronę.
- 6
6. Kontynuuj monitorowanie
Kontynuuj czytanie raportów, aby wcześnie wykryć nowe usługi i wszelkie nadużycia.
Ścieżka wdrożenia
v=DMARC1; p=none then p=quarantine; pct=50 then p=reject; pct=100
Obsługuj limit wyszukiwania SPF
Wiele organizacji przekracza limit wyszukiwania DNS SPF 10 podczas dodawania usług w chmurze, co po cichu łamie SPF i podważa DMARC . Spłaszczanie SPF przekształca zawarte mechanizmy w bezpośrednie adresy IP, dzięki czemu nie przekraczasz limitu. SmartSPF firmy EmailAuth automatycznie spłaszcza rekord SPF i aktualizuje go w przypadku zmiany adresów IP dostawców.
Typowe pułapki
- Skok do p=reject przed uwierzytelnieniem źródeł, co blokuje prawdziwą pocztę.
- Zapominanie o subdomenach: ustaw politykę sp, w przeciwnym razie mogą one pozostać bez ochrony.
- Publikacja dwóch rekordów DMARC , co całkowicie unieważnia DMARC .
- Ignorowanie limitu wyszukiwania SPF 10, który zakłóca wyrównanie SPF i DMARC .
- Egzekwowanie i nigdy więcej nie sprawdzanie raportów, aby nowi nadawcy pozostali niezauważeni.
Ułatw sobie bieżące zarządzanie
EmailAuth może hostować Twoje rekordy DMARC , SPF , DKIM i BIMI poprzez delegację CNAME , dzięki czemu możesz raz wskazać DNS i zarządzać zmianami zasad w panelu kontrolnym, zamiast wielokrotnie edytować DNS . Analizuje dla Ciebie RUA i RUF i oznacza źródła, które nadal wymagają pracy. Aby zobaczyć punkt początkowy, uruchom bezpłatne skanowanie domeny, a następnie podążaj powyższą ścieżką etapową, aby dotrzeć do p=reject.
Często zadawane pytania
Jak skonfigurować DMARC bez przerywania poczty?
Zacznij od p=none, które monitoruje bez wpływu na wyświetlanie. Użyj raportów zbiorczych, aby uwierzytelnić każdego legalnego nadawcę za pomocą SPF i DKIM , a następnie przejdź do kwarantanny i ostatecznie odrzuć. Podejście etapowe oznacza, że nigdy nie egzekwujesz, dopóki nie potwierdzisz prawdziwego przebiegu poczty.
Jak długo powinienem pozostać w p=none?
Wystarczająco długo, aby zobaczyć pełny obraz źródeł wysyłających, w większości organizacji zwykle od dwóch do czterech tygodni. Jeśli wysyłasz za pośrednictwem wielu usług lub masz nadawców sezonowych, poczekaj dłużej. Kontynuuj tylko wtedy, gdy Twoje raporty wykażą, że cała legalna poczta jest przekazywana i wyrównywana.
Jaki jest limit wyszukiwania DNS SPF 10?
Ocena SPF jest ograniczona do dziesięciu wyszukiwań DNS . Jeśli Twój rekord zostanie uwzględniony, a inne mechanizmy uruchomią więcej niż dziesięć, SPF zwróci permerror i zakończy się niepowodzeniem, co zepsuje wyrównanie DMARC . Spłaszczenie rekordu SPF do bezpośrednich adresów IP, na przykład przy użyciu EmailAuth SmartSPF , utrzymuje Cię poniżej limitu.
Czy potrzebuję osobnego rekordu DMARC dla subdomen?
Nie koniecznie. Subdomeny dziedziczą politykę domeny organizacyjnej, chyba że ustawisz tag sp lub opublikujesz dedykowany rekord pod adresem _dmarc.subdomain. Użyj sp, aby zastosować inną politykę do subdomen i jawnie chroń nieużywane subdomeny, aby nie można było ich sfałszować.
[ DMARC przewodnik ]
Pochodzenie przedsiębiorstwa
Dlaczego najlepsze instytucje finansowe i rządy wycofali swoje panele bezpieczeństwa poczty e-mail.
Tradycyjne platformy uwierzytelniania poczty e-mail oferują pulpit nawigacyjny i proszą inżynierów o wykonanie pracy. W środowiskach o dużej stawce ręczny nadzór oznacza opóźnione egzekwowanie, zmianę konfiguracji i niemonitorowane domeny-cienie.
EmailAuth to platforma agentowego pochodzenia wiadomości e-mail. Nasi agenci egzekwują p=reject, dostosuj zewnętrznych nadawców i przenieś swoje domeny do pełnych adresów RFC 9989 zgodność, nowy standard DMARC , z możliwością kontroli przez człowieka.
SaaS · Dedykowany najem · Lokalne rozwiązanie typu air-gapped · Szyfrowanie BYOK