Kontrollér SPF, DKIM og DMARC for hver afsendelsesvej

Når en applikation sender mail via en ekstern tjeneste, er det ikke nok at se på virksomhedsadressen i mailprogrammet. Registrér den faktiske afsendelsesvej, og kontrollér en godkendt testbesked ved det planlagte modtagelsespunkt. DNS-poster og kontrol af beskeden besvarer forskellige spørgsmål.

Begynd med en konkret afsendelsesvej

I det tænkte design sender en kundeportal statusbeskeder. Den synlige afsender er hinweis@firma.example; den eksterne tjeneste bruger versand.example som domæne for sin SMTP-afsender og signatur. Navnene bruges kun i dette design. Ingen besked blev sendt, og ingen DNS-post blev forespurgt.

Afklar først, hvilken applikation der udløser mailen, hvilken tjeneste der overfører den, og hvem der styrer tjenestens domænekonfiguration. Registrér andre veje særskilt, eksempelvis beskeder fra et supportsystem. Én tjenestes konfiguration dokumenterer ikke en andens.

Kontrollér DNS og den faktiske besked sammen

SPF beskriver tilladte servere for SMTP-identiteter. Knyt den offentliggjorte post til det SMTP-domæne, der faktisk bruges. En eksisterende TXT-post er ikke i sig selv et vellykket resultat for den konkrete afsendelsesvej.

DKIM knytter signerede beskeddele til det signerende domæne. Kontrollér også, om afsendelsestjenesten faktisk signerer, og om signaturen er gyldig ved det planlagte modtagelsespunkt. En offentlig nøgle i DNS bekræfter ikke dette alene. Tag højde for tjenester, der behandler beskeden efter signeringen.

DMARC kræver en vellykket SPF- eller DKIM-kontrol med passende domæneafstemning til den synlige afsender. Denne afstemning kaldes alignment. Find derfor også den gældende DMARC-post og de afstemningsbetingelser, den angiver.

Vurdér et enkelt positivt resultat korrekt

Følgende tabel indeholder bevidst konstruerede antagelser for samme design, ikke målte resultater.

For godkendelse skal den konkrete tjeneste understøtte passende domænekonfiguration og den tilhørende afsendelse. Den nødvendige ændring afhænger af tjenesten. At kopiere en vilkårlig eksisterende DNS-post eller forhastet sætte en politik til afvisning løser ikke afstemningsproblemet.

Gem den kontrollerede afsendelsestest som dokumentation

Dokumentér afsendelsesvejen, de brugte domæner, den kontrollerede besked og testresultaterne. Behandler yderligere tjenester beskeden, kræver den vej også et passende testtilfælde. Gentag kontrollen efter ændringer i tjeneste, domæne eller beskedbehandling.

Google behandler autentificering som en del af sine afsenderkrav. Selv et vellykket teknisk testtilfælde dokumenterer hverken placering i indbakken eller læsning. Registrér modtagelsesobservationen særskilt, og udpeg, hvem der håndterer mislykkede kontroller og leveringstilbagemeldinger.

Kilder

• IETF: Sender Policy Framework

• IETF: DKIM Signatures

• IETF: DMARC

• Google: Email sender guidelines