DMARC od p=none do p=reject: krok po kroku, bez blokowania własnej poczty

Od p=none do p=reject przechodzą Państwo w czterech etapach: najpierw przez kilka tygodni zbierają Państwo raporty, potem porządkują każdego nadawcę, który wysyła w imieniu Państwa domeny, następnie włączają kwarantannę dla niewielkiego odsetka i dopiero na końcu odrzucanie. Kto pominie któryś krok, zazwyczaj blokuje własny program księgowy albo sklep internetowy. Proszę liczyć się z kilkoma miesiącami, a nie z jednym popołudniem.

Dlaczego nie od razu reject

DMARC mówi odbiorcy, co ma zrobić z pocztą, która podaje się za Państwa domenę, ale nie przechodzi kontroli. Problem polega na tym, że „nie przejść kontroli” może również Państwa własna, legalna poczta, dopóki nie jest poprawnie wyrównana. Moduł fakturowania wysyłający przez stary serwer, formularz kontaktowy na stronie, dostawca rozsyłający w Państwa imieniu ankietę: wszystko to nie przechodzi kontroli, dopóki Państwo tego nie uporządkują. Jeśli dziś ustawią Państwo p=reject, jutro ta poczta zniknie, a do Państwa nie dotrze żaden komunikat o błędzie.

Krok 1: p=none z raportowaniem

Proszę opublikować rekord DMARC z polityką none i adresem do raportów. Niczego to nie blokuje; sprawia jedynie, że odbiorcy codziennie informują Państwa, kto wysyłał w imieniu Państwa domeny i czy zakończyło się to powodzeniem. Nie należy używać osobistej skrzynki jako adresu raportów: raporty to pliki XML i będzie ich dużo. Najlepiej, by przetwarzało je narzędzie, które podsumowuje je według źródła wysyłki.

Krok 2: czytać co najmniej cztery tygodnie

Rekord powinien działać przez miesiąc. Fakturowanie odbywa się co miesiąc, niektóre przypomnienia co kwartał, a Państwo chcą zobaczyć je wszystkie. Proszę sporządzić listę każdego źródła, które pojawia się w raportach, i dla każdego zdecydować: czy to nasze, a jeśli tak, kto tym zarządza? Prawie zawsze znajdą Państwo więcej, niż się spodziewali. Stary formularz na stronie, system kasowy w oddziale, CRM, który kiedyś podłączył jeden z pracowników.

Krok 3: uporządkować każde legalne źródło

Dla każdego źródła są trzy możliwości. Albo dodają Państwo źródło do rekordu SPF i dbają o to, by domena nadawcy się zgadzała. Albo źródło podpisuje wiadomości kluczem DKIM dla Państwa domeny, co jest solidniejsze, bo przetrwa przekierowanie. Albo przenoszą Państwo źródło do relaya SMTP, gdzie obie kwestie są już załatwione, a każda aplikacja dostaje własny login. Ta ostatnia droga jest zwykle najkrótsza, zwłaszcza w przypadku systemów, do których nikt już nie pamięta dostępu. Tego, czego nie rozpoznają Państwo jako legalne, nie trzeba ratować: właśnie do tego służy DMARC.

Przy SPF proszę pamiętać o limicie dziesięciu zapytań DNS. Kto na ślepo dopisuje każdego dostawcę, przekracza go, a wtedy SPF zawodzi dla wszystkich. Proszę usuwać to, czego już się nie używa.

Krok 4: kwarantanna dla niewielkiego odsetka

Gdy raporty przez kilka tygodni pokazują już tylko legalne źródła, które przechodzą kontrolę, ustawiają Państwo politykę quarantine z odsetkiem na przykład dziesięciu procent. Wtedy tylko jedna dziesiąta poczty, która nie przechodzi kontroli, trafia do spamu. Jeśli nikt niczego nie zauważy, podnoszą Państwo wartość do pięćdziesięciu, a później do stu. Raporty trzeba czytać dalej; źródło, które wysyła tylko raz na kwartał, może pojawić się dopiero teraz.

Krok 5: reject

Gdy kwarantanna na sto procent działa kilka tygodni bez skarg, ustawiają Państwo politykę reject. Poczta, która nie przechodzi kontroli, jest teraz odrzucana, a nie przenoszona do spamu. Proszę nie zapominać o subdomenach: bez osobnego ustawienia dziedziczą politykę domeny głównej, co zwykle jest pożądane, ale warto sprawdzić, czy nie ma wśród nich subdomeny wysyłkowej, która nie jest jeszcze w porządku.

Co robić dalej

Nadal czytać raporty, rzadziej, ale regularnie. Każdy nowy dostawca, który wysyła w Państwa imieniu, powinien najpierw trafić do uwierzytelnienia, a dopiero potem na produkcję. Warto dopisać to do listy kontrolnej przy podłączaniu nowego systemu, inaczej cała historia zacznie się od nowa. Kto chce zrozumieć raporty, znajdzie na naszej stronie o dostarczalności wyjaśnienie, co oznaczają liczby.

Najczęściej zadawane pytania

Ile trwa cały proces?

W małej firmie z trzema systemami wysyłkowymi od dwóch do trzech miesięcy. W organizacji z wieloma działami i dostawcami dłużej. Czas nie idzie na zmiany w DNS, lecz na ustalenie, kto w ogóle wysyła pocztę.

Co, jeśli dostawca nie obsługuje DKIM dla mojej domeny?

Wtedy zostaje SPF, z zastrzeżeniem, że poczta przekierowana nie przejdzie kontroli. W takim przypadku warto rozważyć, by dostawca wysyłał z osobnej subdomeny, dzięki czemu domena główna może pozostać restrykcyjna.

Czy p=quarantine nie wystarczy?

W wielu zastosowaniach tak. Ale tylko przy reject mają Państwo pewność, że sfałszowana poczta nie trafi nawet do folderu spamu, a niektóre rozwiązania, jak logo w skrzynce odbiorczej, wymagają egzekwowania polityki.