Ett meddelande behöver inte båda SPF och DKIM för att skapa en budskapsnivå DMARC passera. Den behöver minst en kvalificerande väg: SPF måste passera och anpassa, eller minst en DKIM signatur måste passera och anpassa.
Den regeln är lätt att förenkla. Ett pass på meddelandenivå är inte detsamma som en fullständig implementering av domänautentisering. Det åsidosätter inte heller separata brevlådeleverantörskrav som kan förvänta sig att avsändare ska konfigurera både SPF och DKIM . Behåll protokollresultatet, sändningsprogrammet och leverantörskraven som tre separata beslut.
Tillämpa den booleska regeln korrekt
För ett välformaterat meddelande med en tillämplig giltig policy och genomförda kontroller, RFC 9989 §5.3.5 ger valideringsregeln på meddelandenivå:
DMARC pass = ( SPF passerar OCH SPF identitet justeras) ELLER (en DKIM -signatur passerar OCH dess d=-domän justeras)Ordet ELLER spelar roll. Båda grenarna kan uppfylla villkoret på meddelandenivå. Ordet OCH betyder något i varje gren. Ett rått autentiseringspass utan inriktning uppfyller det inte.
Alignment jämför den autentiserade domänen med Author Domain i From. Strikt läge kräver exakt jämställdhet under RFC 9989 §3.2.10.2. Avslappnat läge använder upptäcktsrelationen i RFC 9989 §4.10.2.
Jämför de tre väsentliga fallen
Följande fiktiva exempel använder From orders@example.com. De är syntetiska undervisningsfall, inte fångad kundtrafik.
- Fall: A; SPF : Pass for example.com , aligned; DKIM : Misslyckad; DMARC resultat: Godkänt; Anledning: SPF grenen kvalificerar sig
- Fall: B; SPF : Misslyckad; DKIM : Godkänd med d=example.com, justerad; DMARC resultat: Godkänt; Anledning: DKIM grenen kvalificerar sig
- Fall: C; SPF : Pass för vendor.example.net , unaligned; DKIM : Godkänn med d=vendor.example.net, ojusterat; DMARC resultat: Underkänd; Anledning: Ingen av grenarna kvalificerar sig
Fall A visar varför ett DKIM fel inte automatiskt betyder DMARC fel. Fall B visar varför vidarebefordran som stör SPF fortfarande kan lämna en anpassad DKIM sökväg. Fall C visar varför två gröna råresultat fortfarande kan ge DMARC fel.
Läs inte dessa exempel som designmål. Beroende bara på kuvertet kan sökvägen vara ömtålig när meddelanden vidarebefordras. Enbart beroende på DKIM kan vara ömtåligt när mellanhänder ändrar signerat innehåll. Motståndskraft kommer vanligtvis från att konfigurera båda mekanismerna korrekt och sedan verifiera hur verkliga meddelanden beter sig.
Skilj validering från fullt deltagande
Validering på meddelandenivå svarar på om det mottagna meddelandet har minst en passerande inriktad väg. Ett moget domänprogram ställer bredare frågor: täcks legitima meddelanden konsekvent, används båda mekanismerna efter behov, är policyn lämplig, granskas rapporter och fixar operativa ägare undantag?
RFC 9989 definierar också fullständigt deltagande för en domän bredare än ett enda meddelandes valideringsresultat. I synnerhet FÅR ett domänpubliceringsavslag INTE förlita sig enbart på SPF och MÅSTE tillämpa giltiga DKIM signaturer enligt RFC 9989 §7.4. Fullt deltagande anges i RFC 9989 §8. Förvandla inte regeln ELLER på meddelandenivå till ett råd om att en mekanism kan ignoreras i hela organisationen.
Samma skillnad är viktig när en brevlådeleverantör publicerar avsändarkrav. Till exempel, Googles riktlinjer för avsändare kräver SPF , DKIM och DMARC inställningar för bulksändare till personliga Gmail konton. En leverantör kan kräva att både SPF och DKIM konfigureras för en avsändarkategori även om DMARC -validering för ett visst meddelande fortfarande använder regeln för aligned-path. Underlåtenhet att uppfylla leverantörens separata krav kan inte argumenteras bort genom att citera DMARC booleska uttrycket.
Diagnostisera den misslyckade grenen innan du ändrar policy
När ett legitimt meddelande misslyckas med DMARC , fånga in:
- Bevis: Från domän; Fråga: Vilken författardomän skyddas?
- Bevis: SPF resultat och utvärderad domän; Fråga: Passerade kuvertbanan och var den justerad?
- Bevis: Varje DKIM -resultat och d=-domän; Fråga: Passade någon signatur och anpassades?
- Bevis: Justeringslägen; Fråga: Tillämpades strikt eller avslappnad jämförelse?
- Bevis: Resultat av betrodd mottagare; Fråga: Var togs slutsatsen fram?
Reparera sedan grenen som avsändaren är tänkt att använda. För SPF kan det innebära en anpassad kuvertdomän och auktoriserad sändningsväg. För DKIM kan det handla om att aktivera signering med organisationens domän och verifiera ett representantmottaget meddelande. Försvaga inte politiken bara för att identitetstabellen ännu inte har satts ihop.
Förstå indirekt post
Som beskrivs i RFC 7208 §10.3, ändrar vidarebefordran ofta den anslutande källan, så SPF kan misslyckas vid den slutliga mottagaren även om den passerade tidigare. En kvarvarande justerad DKIM signatur kan fortfarande tillhandahålla en kvalificerande sökväg. Ändringar av signerat innehåll kan ogiltigförklara DKIM under RFC 6376 §3.7, medan andra mellanhänder kan påverka båda vägarna.
DMARC garanterar inte att varje legitimt indirekt flöde kommer att bevara en kvalificerande väg. Utvärdera den faktiska rutten, mottagarbevis och affärsbehov. En mottagare kan också tillämpa lokal policy och andra bevis vid beslut om disposition.
Undvik fyra vanliga slutsatser
För det första, säg inte att både SPF och DKIM måste passera för att varje meddelande ska passera DMARC . Det är inte regeln på meddelandenivå.
För det andra, säg inte att en mekanism räcker för hela det sändande boet. Ett enda passerande exempel etablerar inte täckning, motståndskraft eller fullt deltagande.
För det tredje, likställ inte pass med placering i inkorgen. Autentisering är en ingång för att ta emot beslut.
För det fjärde, likställ inte misslyckande med bevisat bedrägeri. En legitim tjänst kan vara felkonfigurerad, medan en angriparägd domän kan autentisera sin egen e-post.
Använd guide för e-postidentitetskedja att samla in bevis och SPF , DKIM och DMARC guide att placera resultatet i det bredare programmet.
Håll slutsatsen inom bevisen
För den booleska fixturen, utvärdera varje gren som pass OCH justerad innan du kombinerar dem med ELLER. En signatur som misslyckas kan inte låna justering från en annan signatur, och ett SPF pass kan inte låna en annan domäns justering. Om nödvändiga DNS kontroller misslyckas, RFC 9989 §5.3.6 skiljer det felet från ett normalt godkänt/underkänt resultat. Ingen verklig verifierare kördes.