ما الذي يضيفه DMARC فوق SPF وDKIM
يثبت كل من SPF وDKIM شيئاً عن الرسالة، لكن أياً منهما لا يتحقق من ارتباط هذا الإثبات بالعنوان الذي يراه المستلم فعلاً. وDMARC يسد هذه الثغرة: فهو يشترط أن ينجح SPF أو DKIM وأن يتحاذى مع نطاق المُرسِل، ثم يخبر الخوادم المستقبِلة بما تفعله حين يفشل الاثنان. كما يرسل إليك تقارير، وهي الطريقة الموثوقة الوحيدة لاكتشاف كل أداة ترسل باسم نطاقك.
ويوجد السجل عند _dmarc.yourdomain.com كسجل TXT. وإليك أبسط صورة مفيدة له.
v=DMARC1; p=none; rua=mailto:[email protected]الاختيار بين none وquarantine وreject
p=none وضع مراقبة: لا يتغير شيء بالنسبة إلى المستلمين، لكنك تتلقى التقارير. وp=quarantine يطلب من الخوادم المستقبِلة وضع البريد الفاشل في البريد العشوائي. وp=reject يطلب منها رفضه. ويشترط Gmail وYahoo سجل DMARC من المُرسِلين بكميات كبيرة، ويعتبران التطبيق الصارم (quarantine أو reject) علامة على نطاق مُدار جيداً.
- النطاقات الجديدة التي ترسل من مزوّد صناديق بريد واحد مع DKIM يمكنها عادةً الانتقال مباشرةً إلى p=reject.
- النطاقات التي لها تاريخ من الأدوات والتكاملات ينبغي أن تبدأ بـ p=none وأن تقرأ التقارير بضعة أسابيع.
- استخدم pct لإدخال التطبيق تدريجياً: فـ pct=25 يطبّق السياسة على ربع البريد الفاشل ويطبّق السياسة الأضعف على الباقي.
- اضبط sp=reject حين لا ترسل النطاقات الفرعية أي بريد إطلاقاً، كي لا يستطيع أحد انتحالها هي أيضاً.
التقارير المجمّعة والجنائية
يُدرج الوسم rua الوجهات التي ترسل إليها الخوادم المستقبِلة التقارير المجمّعة: ملفات XML يومية تلخّص كل عنوان IP أرسل باسم نطاقك، وما إذا كان SPF وDKIM قد نجحا وتحاذيا. أما الوسم ruf فيطلب تقارير جنائية، وهي عينات لكل رسالة لم يعد يرسلها إلا قليل من الخوادم المستقبِلة وقد تحتوي على محتوى الرسائل. ويكفي rua وحده لمعظم الفرق.
وإن كان عنوان التقارير على نطاق مختلف عن النطاق الذي ينشر السجل، فيجب على النطاق المستقبِل أن ينشر سجل تخويل عند yourdomain.com._report._dmarc.reportdomain.com يتضمن v=DMARC1. وخدمات تقارير DMARC المستضافة تفعل ذلك تلقائياً.
أوضاع المحاذاة وأدوات البريد البارد
تقبل المحاذاة المرنة (الافتراضية) نطاق توقيع DKIM أو نطاق مغلّف SPF يكون هو نطاق المُرسِل أو أحد نطاقاته الفرعية. أما الصارمة فتشترط تطابقاً تاماً. ومنصات البريد البارد ترسل عبر مزوّد صناديق البريد الخاص بك، فيتطابق نطاق المُرسِل ونطاق DKIM ونطاق SPF وتنجح المحاذاة المرنة بسلاسة.
وتظهر المشكلات حين ترسل أداة من بنيتها التحتية الخاصة بنطاق مغلّف مختلف وبلا DKIM مخصص؛ عندها تفشل الرسالة في المحاذاة وتحجزها السياسة المُطبَّقة. راجع التقارير قبل التشديد، وأبقِ المحاذاة مرنة إلا إن كان لديك سبب محدد. وتأتي نطاقات InboxOne وسجل DMARC موجود سلفاً كي تبدأ الحملة الأولى مُصادَقة.
