SPF, DKIM و DMARC: An Email Authentication Workflow
افحص SPF وDKIM وDMARC بترتيب منطقي دون الخلط بين سجلات DNS المنشورة ونجاح التسليم.
اخترع الخدمات التي ترسل لك
ابدأ بقائمة بالنظم التي تستخدمها فعلاً: مزود بصندوق بريد، منصة نشرات إخبارية، خدمة للمعاملات، وأي برنامج للدعم أو الفواتير. بالنسبة لكل منهما، يسجل الملامح البارزة من المجال، ومجال العودة المتوقع، ومجالات العودة DKIM انتقاء مقدم الطلب. هذا الجرد يعطي DNS سياق النتائج. يمكن أن يبدو السجل معقولاً في العزلة بينما يغفل خدمة ترسل بريداً شرعياً أو تحتفظ بخدمة لم تعد منظمتنا تستخدمها.
SPF يصف مسار إرسال مأذون به
SPF تقييم إرسال IP ضد السياسة المرتبطة بمجال مرسل الظرف، بدلاً من قراءة العنوان المرئي. ويمكن أن يعتمد الهيكل الذي يشمله وإعادة توجيهه على المزيد من DNS الردود. استخدام SPF تحقق من السجلات المنشورة أو المرعية وتقدير البحث المحافظ لها. ولا يمكن للإحصاء الثابت أن يستنسخ بالكامل كل تقييم يعتمد على الرسالة. إذا كان DNS ولا يكتمل الطلب، ويبقي النتيجة غير حاسمة بدلاً من معالجة السجل غير المتوفر كممر.
DKIM يربط التوقيع على المفتاح المنشور
يوقّع نظام الإرسال محتوى الرسالة بمفتاح خاص. يستخدم المستلمون المحدد ونطاق التوقيع للعثور على مفتاح عام في DNS، عادةً تحت selector._domainkey.example.com. يستطيع هذا المدقق فحص النشر والوسوم الشائعة وترميز base64. لا يتحقق من بنية ASN.1 أو قوة معامل مفتاح RSA. ولا يستطيع التحقق من رسالة دون توقيعها والمحتوى الموقّع فيها. سجّل المحدد الذي يستخدمه مزودك فعليًا؛ فقد يؤدي الاستعلام عن محدد تخميني إلى نتيجة غياب لا توضح حالة محدد صالح آخر.
DMARC يجلب المرسل المرئي إلى المقارنة
وتتحقق شركة DMARC من المواءمة بين النطاق المرئي وهوية ناجحة من طراز SPF أو DKIM، وتنشر سياسة مناولة مطلوبة. ويساعد فحص السجلات على فحص البطاقات والسياسات؛ والسجل المولد هو مشروع لاستعراض المخزون الخاص بك. لا تفترض تغيير السياسة يصلح خدمة غير منضبطة. التأكيد على التوثيق في كل خدمة أولاً، ثم استخدام الملاحظات وتوجيهات مقدمي الخدمات عند البت في كيفية التعامل مع الرسائل التي تفشل في عمليات التحقق المتوائمة.
| تحقق | الاستخدامات | لا يوجد |
|---|---|---|
| سجل SPF | السياسات المتعلقة بنوع الجنس | محاذاة حقل From الظاهر أو الوصول إلى صندوق الوارد |
| سجل DKIM | مفتاح الاختيار المنشور والتوزيع الأساسي | الهيكل الأساسي لوكالة الأمن الإقليمي أو بطاقة التوقيع |
| سجل DMARC | وضعيات الضبط وطلب السياسة العامة | أن كل خدمة إرسال متوافقة |
| رؤساء/تقارير | الملاحظات المبلغ عنها | صحة الأدلة المستعارة التعسفية |
استخدام رسائل وتقارير حقيقية كدليل منفصل
وللتحقق عملياً، أرسل رسالة اختبار عادية من خلال كل خدمة متوقعة، وتفقد الرعاة الذين يضافهم نظام استقبال موثوق به. قارن المجال المرئي، طريق العودة والتوقيع مع قائمة جردك. وتقدم التقارير التجميعية عن DMARC وجهة نظر أخرى: المصادر، وعدد الرسائل، ونتائج التوثيق المبلغ عنها على مدى فترة. استخدم قارئ التقرير لتحديد مصدر يستحق التحقيق. ويمكن للتقرير أن يوجز الإخفاقات، ولكنه لا يفسر تلقائيا ما إذا كانت إساءة استعمالها أو نقلها أو سوء تفاهم مشروع.
إبقاء النطاق والثقة واضحة
المتفوقون XML فالتقارير تقدم إلى الأداة؛ ولا يثبت القارئ صحتها. ولا ينبغي أن يتجاوز خط التوثيق - النتائج المنسخ من جزء غير موثوق به من رسالة ما النتائج الموثوقة للمورد المتلقي. وبالمثل، الجمهور DNS المفتاح يثبت النشر وليس أن خدمتك وقعت الرسالة التي قمت بتفتيشها. الاحتفاظ بسجل للأدلة القصيرة يتضمن السجل، والرسالة أو التقرير ذي الصلة، والمقدم، ووقت الشيك قبل الاختتام.
التحقيق في التسليم مع قائمة مرجعية أوسع
التوثيق المروري هو جزء واحد فقط من تسليم البريد. وينشر البريد الإلكتروني متطلبات المرسل التي تشمل أيضا البنية الأساسية للإرسال، وتشكيل الرسائل، والممارسات المتبعة في تأليف المستعملين. الشروع في إجراء تحقيق في التسليم مع الرد الدقيق لمقدم الطلب ومثال قابل للتكرار. استعراض التغييرات لجرد مرسلك قبل تغيير DNS مرة أخرى. وتوضِّح أدوات التوثيق السجلات والملاحظات؛ ولا يمكن أن تعد بالتنسيب في الإطارات، أو تتعدى على سياسات مقدِّم الخدمات، أو تحدد سمعته من فحص سجل واحد.