DMARC

DMARC là gì

Domain-based Message Authentication, Reporting, and Conformance là lớp chính sách bên trên SPF và DKIM. Hai cơ chế đó cho kết quả đạt hoặc không đạt, nhưng mỗi cơ chế xác thực một danh tính khác nhau: SPF kiểm tra envelope sender, DKIM kiểm tra tên miền ký, và không cái nào bắt buộc khớp với địa chỉ From: mà người dùng thấy. DMARC lấp khoảng trống đó. Nó chỉ đạt nếu ít nhất một trong SPF hoặc DKIM đạt và tên miền được xác thực khớp với tên miền From:. Sau đó nó cho bên nhận biết làm gì với thư thất bại.

Chính sách là bản ghi TXT tại _dmarc.example.com:

v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com; adkim=s; aspf=r

Đọc các thẻ

• p= là chính sách cho thư thất bại: none (chuyển phát, chỉ báo cáo), quarantine (đưa vào spam) hoặc reject (từ chối).
• rua= là nơi gửi báo cáo tổng hợp. Bên nhận gửi tóm tắt XML hằng ngày về nguồn nào gửi thư cho tên miền của bạn và xác thực ra sao.
• ruf= yêu cầu báo cáo pháp y cho từng thất bại; nhiều bên nhận không còn gửi.
• adkim= và aspf= đặt khớp ở mức nới lỏng (r, cho phép tên miền con) hoặc nghiêm ngặt (s, khớp chính xác).
• pct= áp dụng chính sách cho một phần trăm thư thất bại, hữu ích khi triển khai.
• sp= đặt chính sách riêng cho tên miền con.

Vì sao quan trọng

Tên miền không có DMARC, hoặc với p=none, có thể bị mạo danh ở trường From: hiển thị, và đó là điều lừa đảo dựa vào. Các nhà cung cấp hộp thư lớn hiện yêu cầu bản ghi DMARC từ bất kỳ ai gửi thư số lượng lớn, và xếp hạng thư từ tên miền có chính sách thực thi thuận lợi hơn. Bản thân các báo cáo cũng có giá trị: chúng tiết lộ mọi dịch vụ gửi dưới tên miền của bạn, kể cả dịch vụ bị quên và kẻ giả mạo, chính thông tin bạn cần trước khi chuyển từ none sang reject.

Cách kiểm tra

Dùng công cụ tra cứu DNS với loại TXT trên _dmarc.yourdomain.com. Phải có đúng một bản ghi bắt đầu bằng v=DMARC1. Để xem DMARC hoạt động, dán header của thư nhận được vào công cụ phân tích header email: dòng Authentication-Results hiện dmarc=pass hoặc dmarc=fail kèm chính sách bên nhận áp dụng.

Triển khai hợp lý

Bắt đầu với p=none và địa chỉ rua=, đọc báo cáo vài tuần, sửa mọi nguồn hợp lệ bị thất bại, chuyển sang p=quarantine với pct= tăng dần, và kết thúc ở p=reject. Bỏ qua bước giám sát là cách các công ty để hóa đơn của chính mình rơi vào thư mục spam.