Amazon SES -meddelanden kan autentiseras framgångsrikt när du använder identiteter som inte är i linje med domänen som visas i From. A DMARC installationen behöver därför SES-identitetskonfigurationen och det faktiska programmets mottagna meddelanderesultat.
Använd rätt AWS-konto, region och identitet. Skaffa genererade värden från den konfigurationen istället för att kopiera ett annat kontos väljare mål eller att anta att en uppställning någon annanstans täcker den aktuella sändningsrutten.
Upprätta identiteten och signeringsmodellen
Registrera den synliga From-domänen, applikationen och SES-konfigurationen den använder. Bekräfta om DKIM tillhandahålls genom Easy DKIM , ett arrangemang med ta med din egen nyckel eller annan identitetskonfiguration som stöds.
Innan du ändrar en fungerande inställning, spara dess nuvarande tillstånd och kontrollera vem som äger DNS och signeringsändringar. En ny guide är inte en anledning att blint återskapa en fungerande identitet.
Domänverifiering och DKIM -signeringsstatus bör båda kontrolleras i den faktiska tjänsten. En offentlig nyckel eller delegering ensam bevisar inte att applikationen skickar med den avsedda passerande signaturen.
Konfigurera DKIM från den valda identiteten
För en verifierad domänidentitet med Easy DKIM dokumenterar AWS identitetens autentiseringsinställningar, Easy DKIM val och signeringsaktivering. Den genererar DNS -verifieringskonfigurationen som måste slutföras med DNS leverantören.
Använd hela den medföljande posten och verifiera dess auktoritativa svar. Bekräfta den resulterande tjänstens status och skicka sedan ett representativt applikationsmeddelande till en oberoende mottagare.
AWS:s Easy DKIM vägledning dokumenterar också en migreringsrisk vid övergång från BYODKIM till Easy DKIM : meddelanden kan vara osignerade medan den nya konfigurationen väntar. Följ dess stödda migreringsvägledning och planera för kritisk trafik istället för att anta att switchen är sömlös.
Inspektera MAIL FROM-domänen separat
SES använder en amazonses.com -underdomän som standard MAIL FRÅN identitet. En förbigång SPF resultat för denna identitet fastställs inte i sig inriktning med din egen synliga Från-domän.
En inriktad passning DKIM signatur kan tillhandahålla DMARC passeringsvägen. En anpassad MAIL FROM-inställning som stöds kan också upprätta en SPF identitet under en lämplig domänrelation.
Välj en dedikerad underdomän under den överordnade domänen för en verifierad SES-identitet. AWS säger att det inte får användas för andra ändamål, inklusive vanlig sändning eller mottagning av post. Det anpassade MAIL FROM-namnet behöver exakt ett MX post; flera MX poster gör att SES-installationen misslyckas. Följa AWS:s anpassade MAIL FROM-krav och använd den valda identitetens genererade MX och SPF värden. Denna mottagningsfunktion stöder studs- och klagomålshantering; blanda inte ihop det med att flytta organisationens normala postlåde MX poster.
Välj MX-felbeteende medvetet
AWS dokumenterar två anpassade MAIL FROM-felbeteenden. Tjänsten kan falla tillbaka till sin standarddomän MAIL FROM eller avvisa sändningen när den anpassade domänens nödvändiga MX konfiguration inte har verifierats.
Reserven kan ändra SPF identiteten och dess anpassningsförhållande. Det betyder inte nödvändigtvis att DMARC misslyckas, eftersom en justerad passerande DKIM sökväg kan finnas kvar.
I ett syntetiskt fall har ett faktureringsmeddelande From at example.com och anpassat DKIM , men dess anpassade MAIL FROM misslyckas med valideringen och den tillåtna reservdelen använder SES-domänen. SPF-anpassningsförväntningarna har ändrats medan DKIM fortfarande kan tillhandahålla vägen.
Dokumentera det valda beteendet och dess konsekvenser för kritisk applikationspost. Lämna inte det beslutet som en oförklarad standard.
För en verifierad domänidentitet dokumenterar AWS denna konsolsekvens:
- Öppna SES i den avsedda regionen, välj Konfiguration → Identiteter och välj sedan den verifierade domänen.
- I Anpassad POST FRÅN domän, välj Redigera. Aktivera Använd en anpassad MAIL FROM-domän, ange den dedikerade underdomänen och välj Beteende vid MX fel.
- Spara ändringarna och kopiera sedan MX och SPF TXT värdena från Publicera DNS -poster till den auktoritativa DNS leverantören. Behåll orelaterade postlåde- MX poster oförändrade.
Kontrollera den resulterande anpassade MAIL FROM-statusen i SES, de auktoritativa DNS svaren och ett mottaget applikationsmeddelande som separat bevis. De AWS-förfarande är referensen om konsoletiketter ändras; denna sekvens är inte ett påstående om att dessa steg har utförts.
Publicera den avsedda DMARC policyn
Bedöm den befintliga policyn, rapporteringsdestinationen och domänens legitima sändande population. Bevara en befintlig, starkare godkänd policy samtidigt som du undersöker ett separat SES-konfigurationsproblem.
Använda rekordarbetsflödet för publicerings- och insamlingskontroller. Val av policy bör passa domänens faktiska användning och aktuella interoperabilitetsriktlinjer, snarare än en universell instruktion för att publicera avvisande.
Verifiera den slutliga ansökningsvägen
Skicka från applikationen som användare är beroende av, inte bara en konsol eller ett isolerat testverktyg. Inspektera det ursprungliga meddelandet hos mottagaren och behåll From, den SPF-utvärderade domänen, alla relevanta DKIM signaturer och betrodda DMARC resultat.
Upprepa för materialregioner, identiteter eller rutter som faktiskt används. Om en utgående mellanhand ändrar meddelandet, verifiera resultatet efter den rutten. Behåll leverantörsstatus, DNS observationer och mottagna meddelandebevis som separata acceptansposter.
Övervaka efterföljande fel och ändringar i anpassad MAIL FROM-konfiguration. Det användbara resultatet är en stödd, ägd SES-sändningsrutt med verifierad anpassning och förstått felbeteende.