Wiadomość może przejść DMARC i nadal nie spełniają wymagań nadawcy dostawcy skrzynek pocztowych. To niekoniecznie jest sprzeczność. DMARC odpowiada na konkretne pytanie dotyczące tożsamości; odbiorca może również wymagać działających mechanizmów, bezpiecznego transportu, odpowiedniej konstrukcji komunikatu i odpowiedzialnego zachowania podczas wysyłania.
Zacznij od decyzji protokołu
Referencje: RFC 9989 §4.1, RFC 9989 §4.4, RFC 9989 §4.10, RFC 9989 §5.3.5.
RFC 9989, opublikowany w maju 2026 r., przestarzałe starsze specyfikacje RFC 7489 i 9091. Zgodnie z sekcją 4.1, DMARC przechodzi pomyślnie, gdy istnieje rekord zasad dla domeny autora i domena ta jest zgodna z uwierzytelnionym identyfikatorem z wiadomości. Zasada wyrównanego przejścia pozostaje niezmienna: co najmniej jeden obsługiwany mechanizm uwierzytelniania musi przejść wyrównanie do widocznej domeny From. Dla SPF w ramach DMARC odpowiednią tożsamością jest SMTP POCZTA OD domena zgodnie z RFC 9989 §4.4.2; samodzielny wynik SPF oparty na HELO nie zastępuje tej tożsamości DMARC . Dla DKIM, jest to domena d= ważnego podpisu. Skuteczny mechanizm bez wymaganego wyrównania nie zapewnia przepustki DMARC . RFC 9989 sekcje 3.2.10 i 4.1–4.3.
Wyrównanie ma tryby ścisłe i swobodne. Ścisłe dokładnie porównuje odpowiednie domeny; zrelaksowany wykorzystuje swoją relację organizacja-domena. RFC 9989 sekcja 4.10 definiuje Spacer po drzewie DNS odkrywania zamiast tradycyjnego podejścia z publiczną listą sufiksów. Przed przyjęciem zachowania wykrywania sprawdź wersję zaimplementowaną przez odbiornik lub osobę oceniającą. Nie wdrażaj swobodnego dopasowania, sprawdzając, czy jeden ciąg domeny kończy się jedynie innym. Zwodniczy przyrostek lub nieprawidłowe obliczenie domeny organizacyjnej może dać błędny wynik.
Dodaj wymagania dostawcy jako osobną warstwę
Wytyczne firmy Microsoft dotyczące pomocy technicznej dla klientów indywidualnych wymagają zaliczenia zarówno SPF , jak i DKIM , a także DMARC . Ogólne wymagania Yahoo wymagają zarówno mechanizmów, jak i przekazania DMARC . Są to bramki operacyjne będące uzupełnieniem logiki protokołu opartej na obu mechanizmach. Przejrzyj bieżące źródło miejsca docelowego, zamiast wyciągać uniwersalną regułę od jednego dostawcy. Wsparcie Microsoftu I Wymagania Yahoo.
Utwórz jedną kolumnę dla wyniku DMARC i oddzielne kolumny dla kontroli wymaganego uwierzytelniania, DNS , transportu, formatowania i rezygnacji z subskrypcji. Ogólny zielony wskaźnik bez tych kolumn utrudnia stwierdzenie, czy oprogramowanie ocenia protokół, listę kontrolną dostawcy, czy tylko opublikowaną składnię DNS .
Użyj tabeli prawdy, aby ukazać różnicę
Referencje: RFC 9989 §5.3.5.
Pakiet do prywatnej recenzji obejmuje dwuelementową oprawę syntetyczną. Po pierwsze, oba SPF i DKIM przechodzą pomyślnie, ale żadne z nich nie jest dopasowywane: DMARC kończy się niepowodzeniem. Po drugie, SPF zawodzi, gdy DKIM przechodzi i wyrównuje: DMARC przechodzi pomyślnie. Drugi przypadek nadal może zawieść bramę dostawcy, która niezależnie wymaga powodzenia SPF .
Te dane wejściowe są celowo prostymi wartościami logicznymi, a nie implementacją wykrywania DNS Tree Walk, starszego wykrywania opartego na sufiksach publicznych, oceny SPF lub kryptografii DKIM . W obu przypadkach zakłada się, że istnieje odpowiedni zapis polityki DMARC . Sprawiają, że logiczne rozróżnienie jest powtarzalne, bez konieczności testowania dostawcy. W prawdziwym badaniu zastąp każdą wartość logiczną zaufanym zaobserwowanym wynikiem i jego oszacowaną tożsamością.
Nie myl publikacji z oceną
Referencje: RFC 9989 §5.4.
Wydawniczy p=none ustanawia żądaną politykę monitorowania, a nie pomyślny wynik uwierzytelnienia wiadomości. Publikacja klucza publicznego DKIM nie powoduje podpisywania poczty wychodzącej. Dodanie Rekord SPF nie świadczy o tym, że faktycznie połączono się z autoryzowanym adresem. Każdy artefakt konfiguracji wymaga odpowiedniej obserwacji z zamierzonej trasy wysyłania.
Podobnie, przejście od p=none do p=reject nie naprawia wyrównania. Zmienia sposób postępowania w przypadku błędów, o który prosił właściciel domeny. Inwentaryzacja legalnych tras przed zmianą egzekwowania, zachowanie planu wycofywania i ocena wpływu na przepływy pośrednie. Odbiorca nadal stosuje własną lokalną politykę dotyczącą dyspozycji; żądane działanie DMARC nie stanowi gwarancji dostawy.
Zbuduj przydatny zapis zamknięcia
Referencje: RFC 8601 §5.
Dla każdej badanej próbki zachowaj nadawcę, nadawcę w kopercie, adres IP połączenia, osobę podpisującą DKIM i selektor, wyniki mechanizmu, tryb zestrojenia i ostateczna odpowiedź odbiorcza. Zidentyfikuj zaufane źródło tych wyników. Nie akceptuj arbitralnie skopiowanych nagłówków jako wiarygodnych tylko dlatego, że zawierają słowo „pass”.
Zamknij oddzielnie ustalenia dotyczące protokołu i ustalenia dotyczące zgodności dostawcy. Dzięki temu można dokładnie stwierdzić, że DMARC przeszedł pomyślnie, podczas gdy inny wymóg pozostał nierozwiązany, i przypisać korektę właściwemu właścicielowi bez osłabiania niepowiązanych kontroli.