Rodzic DMARC Polityka może określić, w jaki sposób odbiorcy powinni obsługiwać pocztę w subdomenach, która nie przeszła uwierzytelnienia. Nie może powiedzieć, która aplikacja wysyła tę pocztę, kto ją zatwierdził ani czy krytyczna usługa powiadamiania nadal działa. Pytania te wymagają spisu nadawcy powiązanego z dowodami otrzymanej wiadomości.
Rozróżnienie ma znaczenie podczas egzekwowania prawa. Kontrola DNS może wykazać politykę ochronną w głównej domenie organizacji, podczas gdy stara platforma kampanii korzysta z jawnej polityki podrzędnej, spółka zależna kontroluje własną przestrzeń nazw lub usługa resetowania hasła uwierzytelnia się przy użyciu niepowiązanej tożsamości dostawcy. Zapis i inwentarz odpowiadają na różne pytania.
Zacznij od domeny, którą widzi odbiorca
Dla każdego przepływu pracy biznesowej przechwyć domenę w adresie Od wiadomości. Nie zastępuj domeny witryny, domeny logowania do konta ani nazwy marki dostawcy poczty. Następnie zidentyfikuj obowiązujące zasady, tożsamość ocenioną przez SPF i DKIM podpisywanie domeny lub domen.
W ramach obecnego odkrycia DMARC odpowiedni rekord znaleziony specjalnie dla domeny autora ma pierwszeństwo przed powrotem do domeny domena organizacyjna lub przyrostek publiczny. Obecna specyfikacja wykorzystuje a Spacer po drzewie DNS. Bezpośredni element nadrzędny nie jest automatycznie odpowiednią granicą organizacyjną. Widzieć RFC 9989 §4.10.1.
Dlatego w Twoim wykazie powinna być zarejestrowana odkryta domena zasad, a nie tylko pole wyboru oznaczone jako „objęte przez element nadrzędny”. Zapisz również używany odbiornik lub analizator oraz datę testu. Starsze implementacje mogą wykorzystywać starsze metody wykrywania, więc obliczenia dokumentacyjne nie pozwalają na ustalenie uniwersalnego wdrożenia.
Porównaj trzy przypadki subdomen
Poniżej znajduje się syntetyczna ilustracja, a nie zaobserwowana konfiguracja klienta. Przypuszczać example.com jest domeną organizacyjną, wykrywanie wybiera swój rekord, jeśli nie istnieje żaden rekord podrzędny, a jego rekord zawiera p=reject; sp=quarantine; np=reject. Znacznik wersji został pominięty w tym zdaniu jedynie ze względu na czytelność; należy zacząć od prawdziwego zapisu polityki v=DMARC1.
- Autor Sprawa domeny: Istniejąca
billing.example.com, bez wyraźnego Rekord DMARC; Polityka mająca zastosowanie w tym przykładzie: Rodzicsp=quarantineza brak poczty; Co musi jeszcze ustalić inwentarz: który przepływ pracy rozliczeń wysyła, jego właściciel i dopasowany wynik uwierzytelnienia odebranej wiadomości - Autor Przypadek domeny: Nie istnieje
unused.example.com, bez wyraźnej polityki; Polityka mająca zastosowanie w tym przykładzie: Rodzicnp=rejectza brak poczty; Co inwentarz musi jeszcze ustalić: czy rzeczywiście nie istnieje w DNS i czy nieoczekiwanie wykorzystuje go jakikolwiek legalny przepływ pracy - Autor Sprawa domeny: Istniejąca
news.example.com, z własnymv=DMARC1; p=nonenagrywać; Zasady mające zastosowanie w tym przykładzie: jawne dzieckop=nonepolityka; Co należy jeszcze ustalić w wykazie: kto jest właścicielem tego wyjątku, dlaczego istnieje i kiedy zostanie ponownie oceniony
We wszystkich trzech przypadkach przechodząca dopasowana tożsamość może wygenerować przepustkę DMARC . Kolumna zasad opisuje żądanie obsługi niepowodzenia, a nie polecenie odrzucenia każdej wiadomości z domeny. Decyzje odbiorcy pozostają odrębne w ramach RFC 9989 §5.4. The sp I np zasady wyboru są określone w RFC 9989 , sekcja 4.10.1.
Delegowana strefa DNS to kolejny element zasobów, a nie dowód wyraźnej polityki DMARC . Zarejestruj, kto to kontroluje i przetestuj wykrywanie w rzeczywistych domenach autorów. Nie wnioskuj o granicach organizacyjnych na podstawie schematu swojej firmy.
Połącz każdego nadawcę z właścicielem firmy
Zbuduj jeden wiersz na każdy znaczący przepływ pracy wysyłania. Pojedyncza aplikacja może wymagać oddzielnych wierszy dla kampanii, powiadomień transakcyjnych i wiadomości wywoływanych przez pracowników, jeśli korzystają z różnych tożsamości lub tras.
Zachowaj przynajmniej przepływ pracy, odpowiedzialnego właściciela, domenę autora, domenę koperty, domenę podpisywania i selektor, usługa wysyłania, obowiązująca polityka, ostatni test i warunek wycofania. Dodaj lokalizację dowodu i wszelkie nierozwiązane problemy. Wyznaczony dostawca bez zidentyfikowanego konta klienta lub właściciela firmy pozostaje głównym dochodzeniem, a nie zatwierdzonym organem wysyłającym.
Używać raporty zbiorcze znaleźć zaobserwowany ruch i porównać go z tym rejestrem. Pod RFC 9990 §3.1 I RFC 9989 §5.3.8raporty opisują ruch obserwowany przez uczestniczące odbiorniki; brak raportu nie jest dowodem na to, że nie istnieje miesięczny lub rzadko używany przepływ pracy. Poproś właścicieli aplikacji o celowe resetowanie haseł, pokwitowania, alerty i zaplanowane zadania.
Zmień zasady dotyczące zapasów
Przed zmianą zasady nadrzędnej określ wiersze, które odziedziczą zmianę, oraz wiersze z niezależną polityką podrzędną. Przypisz testy ich właścicielom. W ramach bezpiecznego przeglądu zadawane jest pytanie, czy legalna poczta pozostaje uwierzytelniona i dostosowana, czy wyjątki są uzasadnione i czy odzyskiwanie można ograniczyć do przepływu pracy, którego dotyczy problem.
Unikaj osłabiania zasad nadrzędnych tylko dlatego, że konfiguracja jednej aplikacji jest niekompletna. Najpierw ustal, czy usługa może korzystać z obsługiwanej, dopasowanej domeny podpisywania. Jeżeli konieczny jest wyjątek, należy udokumentować jego zakres, osobę zatwierdzającą, wygaśnięcie i plan weryfikacji. Potraktuj to jako decyzję o wyraźnym ryzyku, zamiast potajemnie ukrywać nadawcę przed inwentarzem.
Po zmianie porównaj wyniki i raporty nowych wiadomości z wierszami sprzed zmiany. Zachowaj różnice w polityce i dowody razem. Zamknij zmianę tylko wtedy, gdy właściciele firm, których to dotyczy, potwierdzą swoje rzeczywiste przepływy pracy, a dla nierozwiązanych nadawców wyznaczono kolejne działanie.
Oddziel zakres polisy i zakres nadawcy
Przydatny pulpit nawigacyjny obejmuje dwa mierniki: domeny ze zweryfikowaną obowiązującą polityką oraz przepływy pracy dotyczące wysyłania przesyłek biznesowych z bieżącym właścicielem i przetestowaną dostosowaną trasą. Ulepszanie jednego nie poprawia automatycznie drugiego. Skorzystaj z przewodnik po inwentarzu nadawcy dla rejestru operacyjnego i przewodnik po zasadach subdomen aby poznać szczegóły odkrycia.
Podejmij następną decyzję jasno
W przypadku urządzenia z trzema domenami, rozliczenia grupowe w ramach odziedziczonej polityki sp, niewykorzystane w ramach zakładanej obowiązującej polityki np oraz wiadomości w ramach wyraźnej polityki p. Zmiany spacji nadrzędnej nie należy opisywać jako zmiany jawnej polityki dotyczącej wiadomości. Trzymaj każdego właściciela przepływu pracy i lukę w dowodach oddzielnie. Jest to konsekwencja przyjętych założeń odkrywania, a nie spaceru po żywym drzewie czy zgody na zmianę polityki.