[ 標準和DMARCbis ]

在不承諾接收器支援的情況下測試DMARC t 語義

建構六種預期的 t 策略組合,將評估與處置分開,並確定仍需要的接收者證據。

由EmailAuth研究團隊提供 · 6 分鐘閱讀

[ 重點 ]

  • 對於失敗郵件, t=y將隔離軟化為無並拒絕隔離;沒有了。
  • 測試適用於選定的 p、sp 或 np 策略,並且不會重寫驗證結果。
  • 報告和最終接收者處置保持分開;不包括實際測試結果。
在此頁面上

測試更改請求,而不更改身份驗證結果

目前的 t 標籤 DMARC 是附加到策略記錄的測試模式訊號。它不會將未經身份驗證的訊息轉換為經過身份驗證的訊息,並且不承諾傳送。其有用目的是軟化對 DMARC 失敗郵件的評估要求,同時允許相關的特殊處理。因此,部署計劃需要兩個獨立的輸出:預期的策略解釋和接收者的實際行為。

RFC 9989第 4.7 節 定義t=y和t=n,其中 n 為預設值。測試根據從 p、sp 或 np 中選擇的評估策略進行。首先確定該策略以及DMARC是否失敗。當子網域覆寫實際控制訊息時,請勿將轉換套用於任意 p 標記。

在發送任何內容之前建立六格期望

對於選定的無策略,y 和 n 都將請求的評估保留為無。對於選定的隔離區,y 不要求任何隔離,而 n 保留隔離區。對於選定的拒絕,y 請求隔離,而 n 保留拒絕。 none 結果仍然允許普通接收器過濾;它不是繞過反濫用控制的指令,也不是保證郵件將進入收件匣。

在虛構的測試設計中, _dmarc.trial.north.example一次保存一個替代記錄,每個記錄以v=DMARC1開頭,並包含一個選定的 p 值和一個 t 值。六個備選方案形成一個矩陣,而不是同時六個TXT策略記錄。同一候選名稱的多個策略記錄是一個不同的發現問題,並且會使預期的比較無效。本文沒有發布任何記錄,也沒有發送任何郵件。

為 DMARC 傳遞控制訊息保留單獨的預期結果。測試不會重寫導致失敗的結果或導致失敗 SPF 結果通過。驗證, 結盟,選定的評估和最終處置應佔據證據包中的不同欄位。否則,一張顯示「已交付」的螢幕截圖可能會掩蓋實驗本來要建立的行為。

包括特殊處理而不依賴它

測試定義允許相關的特殊處理,例如由中介機構進行現場重寫以及更軟的評估。它表示,無論是否發生特殊處理,評估減少都適用。因此,測試設計必須觀察兩個維度,而不是以可見重寫為條件來減少策略。

RFC 9989附錄 A.6 解釋歷史:不一致的百分比處理導致刪除 pct,而圍繞pct=0的有用實踐通知了新的二進位標記。該歷史並未使t=y成為流量採樣百分比或聲稱所有歷史 pct 行為都被再現。這 IANA註冊機構 現在將 t 列為活動狀態,將 pct 列為歷史狀態。註冊表項無法確定接收組織運作哪些軟體。

中間人可能會以影響以後對齊的方式改變識別碼。僅在經過批准的隱私安全測試中保留中介前和中介後訊息證據。不要僅從更改的顯示名稱或最終資料夾推斷該機制。報告應標識更改的確切欄位、更改的躍點以及下游看到的身份驗證結果。

最終拒絕仍需要接收者更廣泛的分析

標記為拒絕的矩陣單元描述了請求的評估,而不是自動SMTP結果。 RFC 9989第 7.4 節 要求接收者不要僅根據發送域的拒絕策略來拒絕。他們必須將其與其他分析結合起來,如果沒有額外的知識,則將失敗的郵件視為隔離。忽略這種差異的測試可能會錯誤地認為合格的接收器有缺陷。

同一部分強調了轉寄和郵件清單互通性風險。域發布拒絕不得僅依賴SPF來確保DMARC通行證的安全,並且必須應用有效的 DKIM 簽名。測試模式不會修復損壞的簽名或確定每個間接路由都是安全的。當實際部署依賴直接傳遞和批准的代表性間接路徑時,請包括這些路徑,而不是從單一郵箱推斷。

將接收者聲明的範圍限定為您可以保留的證據

發布的 RFC 是規範性參考,而不是每個提供者的推出公告。較舊的實作可能會忽略它無法識別的標籤,這可能會使聲明的隔離或拒絕評估不被軟化。這是需要評估的風險,而不是對指定接收者的測量結果。記錄目前提供者的聲明、可用的實際軟體版本以及支援每個相容性結論的具體觀察結果。

提議的授權運作應保留DNS策略快照和時間、準確的記錄名稱、訊息識別碼、對齊輸入、接收器回應和任何可用的報告。單獨記錄本地策略覆蓋。在受控條件下重複六單元比較,而不是一次更改多個發送變數。包括意外拒絕的停止條件並保留核准的回溯計畫;本文並未授權這些操作行為。

報告也保持獨立。 t 標籤本身不會更改報告產生。聚合請求使用 rua 和 RFC 9990 報告規則;故障回饋有其自身的條件和接收者的判斷力。缺少回饋不能證明測試標籤被忽略,而且回饋本身可能無法解釋接收者完整的最終處置推理。

誠實地讓執行之門敞開

確切的委託是:使用每個策略測試t=y和t=n並保留接收器結果。該包包含原始的六單元預期矩陣,在起草之前準備好,但沒有接收器結果。因此它不滿足該執行要求。原始證據之門仍然明顯開放,而不是被基於標準文本的兼容性聲明所取代。

在發布之前,技術所有者必須批准夾具,操作所有者必須授權任何實際測試,並且審核者必須將觀察結果與當前規格和接收器範圍進行協調。勘誤驗證、專家驗收、生產路線檢查、目視審查和出版許可仍在等待中。今天的合理結論是當前標籤要求符合要求的實現要做的事情,以及仍然需要依賴它的精確證據。

[ 外帶 ]

正確的預期矩陣準備互通性測試;它不會取代已儲存的接收器結果。

[ 按角色 ]

這對您意味著什麼

選擇您的角色以執行後續實際步驟。

測試工程師

保留一個受控變數

這六個替代方案是單獨的固定裝置,而不是多個同時的保單記錄。

後續步驟

  1. 記錄所選策略和每次運行的 t 值。
  2. 分別保留通過和失敗的控制。
  3. 捕獲實際觀察結果,而無需僅從交付中推斷支援。

郵件運營所有者

授權有界執行

間接路由和意外拒絕可能會影響真實使用者。

後續步驟

  1. 批准測試接收者和固定裝置所有權。
  2. 設定停止和回滾條件。
  3. 將建議的操作與已完成的測試區分開來。

相容性審核員

範圍每個接收者的結論

規範性文字不能取代提供者特定的部署記錄。

後續步驟

  1. 保留接收方版本或目前提供者聲明。
  2. 與當地處置分開評估。
  3. 解決目前勘誤表並核准解釋。

[ 常見問題解答 ]

常見問題

省略標籤時t=n是什麼意思?

n 是預設值,請求對 DMARC 失敗郵件進行選定的評估。它不承諾最終的接收者配置將在沒有其他分析的情況下與策略標籤相符。

t=y是否會將對齊的傳遞變成失敗?

不。它表示正在測試對失敗訊息的所選評估的處理。將身份驗證、對齊和策略解釋作為不同的輸出。

t=y也會軟化 sp 和 np 嗎?

是的。標籤定義涵蓋所選的 p、sp 和/或 np 評估。在得出測試結果之前發現適用的記錄和選定的標籤。

較軟的評估是否以 From 重寫為條件?

否。此定義會套用一級縮減,而不考慮測試觸發的其他特殊處理。與評估結果分開記錄任何重寫。

測試相當於對百分之十的流量進行採樣嗎?

t 是二進位的。 RFC 9989附錄 A.6 解釋了 pct 的歷史,目前的IANA註冊機構將 pct 標記為歷史記錄,而不是將 t 定義為百分比。

為什麼拒絕矩陣單元格不是自動SMTP拒絕?

RFC 9989第7.4節要求其他接收器知識和分析;收件人不得僅根據p=reject拒絕郵件,並且在沒有其他知識的情況下必須將失敗的郵件視為隔離郵件。此矩陣描述了所要求的評估。

啟用 t 是否需要更多報告?

不會。 t 定義不會更改報告產生。聚合報告遵循 rua 和RFC 9990 ,而故障報告有自己的請求條件和接收者自行決定權。

六單元接收器測試完成了嗎?

不會。每個預期單元格都有一個空的觀察區域。在聲明相容性之前,仍然需要實際的接收器行為、版本範圍、間接路由覆蓋範圍和批准。

[ 來源 ]

來源

  1. IANA DMARC參數註冊表
  2. RFC 9989 : DMARC核心
  3. RFC 9990 : DMARC彙總報告

[ 詞彙表 ]

詞彙表

t=y
測試訊號,請求對選定的隔離進行一級較軟處理或拒絕對失敗郵件的評估。
t=n
請求對 DMARC 失敗郵件進行聲明的選定評估的預設測試值。
選定的評估
在測試模式處理和最終接收器處理之前導出的 p、sp 或 np 策略。
特殊處理
參與者可以應用其他行為來回應測試,例如來自現場重寫。
處置
接收者處理結果由DMARC和其他知識告知,而不僅僅是策略標籤。

企業出處

為什麼頂級金融機構和政府 退役了他們的電子郵件安全儀表板。

傳統的電子郵件驗證平台會向您出售儀表板並要求您的工程師來完成這項工作。在高風險環境中,手動監督意味著延遲執行、配置漂移和不受監控的影子域。

EmailAuth是代理電子郵件來源平台。 我們的代理人強制執行 p=reject,保持第三方寄件者一致並將您的網域移至完整狀態 RFC 9989 合規性、新的DMARC標準,以及人機互動審核能力。

政府 大型企業 一級金融機構

SaaS · 專用租賃 · 氣隙本地部署 · BYOK 加密

知識庫