מחולל ובודק רשומות DMARC
בנה רשומת DMARC עם מסלול הטמעה בטוח מניטור ועד אכיפה, ובדוק את המדיניות שדומיין מפרסם כיום.
1מדיניות
מה על מקבלי דואר לעשות עם דואר שטוען שהגיע מהדומיין שלך אך נכשל הן ביישור SPF והן ביישור DKIM.
השאר על ירושה אלא אם תת-הדומיינים זקוקים לכלל אחר.
מתחת ל-100 השאר נופל חזרה למדיניות החלשה יותר. שימושי בעת הפעלה הדרגתית.
2דיווח
דוחות מצטברים הם עיקר הסיבה להתחיל עם DMARC: הם מראים לך כל מקור ששולח בשם הדומיין שלך.
סיכומי XML יומיים. אם כתובת זו נמצאת בדומיין אחר, אותו דומיין חייב לפרסם רשומת הרשאה.
עותקי כשל לכל הודעה. אופציונלי: רוב מקבלי הדואר כבר לא שולחים אותם.
3יישור
עד כמה הדומיין של SPF או DKIM חייב להתאים לדומיין ה-From הגלוי. מרוככת מתאימה לרוב ההגדרות.
- סוג רשומה
- TXT
- שם / מארח
- _dmarc
- TTL
- 3600
לעולם אל תקפוץ ישר לדחייה: תחסום את הניוזלטרים, החשבוניות ותמיכת הלקוחות שלך עצמך. התקדם צעד אחד בכל פעם, וקרא את הדוחות בין כל שלב.
-
שבועות 1–4: מעקב
p=none; pct=100פרסם עם ניטור בלבד וקרא את הדוחות המצטברים. מצא כל שולח לגיטימי וודא יישור SPF או DKIM עבור כל אחד. -
שבועות 5–6: הסגר לרבע מהדואר
p=quarantine; pct=25עבור להסגר על חלק מהדואר. עקוב אחר תלונות ואחר דואר לגיטימי שנוחת בספאם. -
שבועות 7–8: הסגר על כל הדואר
p=quarantine; pct=100העלה את זה לכל הדואר. הדוחות אמורים כעת להראות כשלים רק ממקורות שאינך מזהה. -
משבוע 9 ואילך: דחייה
p=reject; pct=100עבור לאכיפה מלאה, והמשך לקרוא את הדוחות: שולחים חדשים מופיעים בכל פעם שצוות נרשם לכלי חדש.
בנה מדיניות בצד שמאל עם מסלול הטמעה מניטור ועד אכיפה, או עבור לבודק כדי לקרוא את רשומת ה-DMARC שדומיין מפרסם, תג אחר תג.
| תג | ערך | המשמעות |
|---|
| דומיין יעד | רשומת אישור | סטטוס |
|---|
אודות מחולל ובודק רשומות DMARC
מחולל ובודק רשומות DMARC בונה את רשומת ה-TXT מסוג `_dmarc` שאומרת לשרתי קבלה מה לעשות כאשר דואר שטוען שהוא מגיע מהדומיין שלך נכשל הן ביישור SPF והן ביישור DKIM, וחשוב לא פחות, לאן לשלוח את הדוחות שמראים לך מי שולח בשמך. מאז פברואר 2024, Gmail ו-Yahoo דורשים רשומת DMARC מכל מי ששולח דואר בכמות גדולה למשתמשיהם.
המחולל מכסה את המדיניות, מדיניות תת-הדומיין, האחוז, כתובות הדוחות, מצבי היישור, אפשרויות הכשל ומרווח הדיווח, ומציג את מסלול ההטמעה שרוב הדומיינים צריכים לעקוב אחריו: ניטור תחילה, לאחר מכן הסגר (quarantine) לחלק, לאחר מכן הסגר לכולם, ולבסוף דחייה. קפיצה ישירה לדחייה היא הדרך שבה ארגונים חוסמים את החשבוניות, הניוזלטרים ותגובות התמיכה שלהם עצמם.
הבודק קורא את הרשומה שדומיין מפרסם, מסביר כל תג בשפה פשוטה ומאמת אותה מול RFC 7489. הוא מדווח על רשומה חסרה, מספר רשומות (ששרתי קבלה מתייחסים אליהן כאילו אין מדיניות כלל), תג גרסה שממוקם לא נכון, תגים פגומים או לא מוכרים, `p=none` שנשאר שם חודשים, `pct` מתחת ל-100, ותקלה עדינה שגורמת לאובדן שקט של הדוחות שלך: כתובת `rua` בדומיין אחר שלא פרסם את רשומת אישור היעד החיצוני שדורש RFC 7489 §7.1. הוא גם עוקב אחרי נפילת ברירת המחדל של הדומיין הארגוני (organizational domain), כך שבדיקת תת-דומיין מציגה את המדיניות שבאמת חלה עליו.
כיצד להשתמש ב-מחולל ובודק רשומות DMARC
- התחל בלשונית המחולל עם המדיניות מוגדרת לניטור בלבד, והזן כתובת לדוחות המצטברים.
- השאר את היישור על מרוכך (relaxed) אלא אם אתה יודע ששולח מסוים דורש התאמה מחמירה, והשאר את pct על 100.
- פרסם את הרשומה כרשומת TXT בשם _dmarc בדומיין שלך.
- קרא את הדוחות המצטברים במשך מספר שבועות וודא ש-SPF או DKIM מיושרים עבור כל שולח לגיטימי שהם חושפים.
- עבור להסגר (quarantine), ולאחר מכן לדחייה (reject), תוך בדיקת הדוחות בין כל שלב.
- השתמש בלשונית הבודק בכל שלב כדי לוודא שהרשומה מנותחת כראוי ושיעדי הדוחות שלך מורשים.