SPF, DKIM dan DMARC: A Email Authentication Workflow
Inspeksi SPF, DKIM dan DMARC dengan urutan yang masuk akal tanpa membingungkan DNS yang diterbitkan dengan pengiriman sukses.
Inventaris layanan yang dikirim untuk Anda
Mulailah dengan daftar sistem yang Anda gunakan: penyedia kotak surat suara, platform newsletter, layanan transaksional dan dukungan apapun atau memerlukan perangkat lunak. Untuk masing-masing, rekam yang terlihat Dari domain, berharap mengembalikan domain path dan pemilih DKIM yang disediakan oleh penyedia. Inventaris ini memberikan konteks hasil DNS. Sebuah catatan dapat terlihat masuk akal dalam isolasi sambil mengabaikan layanan yang mengirimkan surat yang sah atau mempertahankan layanan yang tidak lagi digunakan oleh organisasimu.
SPF menggambarkan jalur pengiriman yang resmi
SPF mengevaluasi IP mengirim terhadap kebijakan yang terkait dengan domain pengirim amplop, daripada hanya membaca alamat Dari yang terlihat. Termasuk dan redirect struktur dapat bergantung pada respon DNS lebih lanjut. Gunakan pengecek SPF untuk memeriksa catatan yang diterbitkan atau ditempelkan dan estimasi pencarian konservatif tersebut. Sebuah jumlah statis tidak dapat sepenuhnya mereproduksi setiap pesan-tergantung evaluasi. Jika permintaan DNS tidak komplit, simpan hasilnya secara tidak meyakinkan daripada menganggap catatan tidak tersedia sebagai suatu pass.
DKIM menghubungkan tanda tangan ke kunci yang diterbitkan
Mengirim isi pesan tanda tangan sistem dengan kunci privat. Penerima menggunakan domain pemilih dan penandatanganan untuk menemukan kunci publik di DNS, biasanya dibawah selector._domainkey.example.com. Pemeriksa ini dapat memeriksa publikasi, tag umum dan encoding base64. Ini tidak memvalidasi sebuah kunci RSA struktur ASN.1 atau modulus kekuatan. Ini tidak dapat memverifikasi pesan tanpa tanda tangan pesan dan isi ditandatangani. Rekam pemilih yang digunakan oleh penyedia Anda; cari siapa yang dapat menghasilkan ketidakhadiran yang menunjukkan adanya pemilih lain.
DMARC membawa pengirim terlihat ke dalam perbandingan
Perataan pemeriksaan DMARC antara terlihat Dari domain dan sebuah identitas SPF atau DKIM sukses, dan menerbitkan kebijakan penanganan yang diminta. Pemeriksa rekaman membantu memeriksa tag dan kebijakan; catatan yang dihasilkan adalah draft untuk meninjau terhadap inventaris pengiriman Anda. Jangan asumsikan perubahan kebijakan memperbaiki layanan yang tidak selaras. Konfirmasi setup otentikasi dari setiap layanan pertama, kemudian gunakan pengamatan dan bimbingan penyedia ketika memutuskan bagaimana menangani pesan yang gagal memeriksa aligned.
| Periksa | Uses | Tidak menetapkan |
|---|---|---|
| Catatan SPF | Kebijakan pengirim | Tampak Dari penempatan inbox atau alignment |
| DKIM record | Kunci pemilih diterbitkan dan pengkodean dasar | Struktur kunci RSA atau lulus tanda tangan pesan |
| rekaman DMARC | Pengaturan perataan dan kebijakan yang diminta | Bahwa setiap layanan pengiriman selaras |
| Kepala / laporan | Menerima - laporan pengamatan | Keaslian dari barang bukti yang ditempelkan secara sewenang-wenang |
Gunakan pesan asli dan laporan sebagai bukti terpisah
Untuk pemeriksaan praktis, kirim pesan tes biasa melalui setiap layanan yang diharapkan dan memeriksa header ditambahkan oleh sistem penerima terpercaya. Bandingkan domain yang terlihat, kembalikan path dan tandatangani domain dengan inventaris Anda. DMARC kumpulan laporan memberikan tampilan lain: sumber, jumlah pesan dan laporan hasil otentikasi selama satu periode. Gunakan pembaca laporan untuk mengidentifikasi sumber yang layak diselidiki. Sebuah laporan dapat merangkum kegagalan, tetapi tidak secara otomatis menjelaskan apakah mereka adalah penyalahgunaan, penerusan atau kesalahan yang sah.
Jauhkan lingkup dan kepercayaan terlihat
Tajuk yang telah dipasang dan laporan XML adalah data yang disediakan untuk alat ini; pembaca tidak membangun keaslian mereka. Sebuah otentikasi tersalin-Hasil baris dari bagian yang tidak terpercaya dari suatu pesan seharusnya tidak melebihi hasil terpercaya penerima sendiri. Demikian juga, kunci DNS umum membuktikan publikasi, bukan berarti layanan Anda menandatangani pesan yang Anda periksa. Simpan catatan bukti pendek yang berisi catatan, pesan atau laporan yang relevan, penyedia dan waktu pemeriksaan sebelum menggambar kesimpulan.
Menyelidiki pengiriman dengan daftar pemeriksaan yang lebih luas
Otentikasi lewat hanya satu bagian dari pengiriman surat. Gmail menerbitkan persyaratan pengirim yang juga menutupi pengiriman infrastruktur, pemformatan pesan, dan pengguna yang dihadapi praktek. Mulai penyelidikan pengiriman dengan tepat menerima respon penyedia dan contoh reproduksi. Ulasan perubahan ke persediaan pengirim Anda sebelum mengubah DNS lagi. Alat otentikasi mengklarifikasi catatan dan pengamatan; mereka tidak bisa menjanjikan penempatan inbox, melewati kebijakan penyedia atau menentukan reputasi dari pemeriksaan rekaman tunggal.