Kontroller SPF, DKIM og DMARC for hver sendevei

Når en applikasjon sender e-post gjennom en ekstern tjeneste, er det ikke nok å se på firmaadressen i e-postprogrammet. Registrer den faktiske sendeveien og kontroller en godkjent testmelding ved det planlagte mottakspunktet. DNS-poster og meldingskontroll besvarer ulike spørsmål.

Begynn med en konkret sendevei

I den tenkte løsningen sender en kundeportal statusmeldinger. Den synlige avsenderen er hinweis@firma.example; den eksterne tjenesten bruker versand.example som domene for SMTP-avsenderen og signaturen sin. Navnene brukes bare i denne løsningen. Ingen melding ble sendt og ingen DNS-post ble forespurt.

Avklar først hvilken applikasjon som utløser e-posten, hvilken tjeneste som overfører den, og hvem som styrer tjenestens domenekonfigurasjon. Registrer andre veier separat, for eksempel varsler fra et supportsystem. Konfigurasjonen til én tjeneste dokumenterer ikke en annens.

Kontroller DNS og den faktiske meldingen sammen

SPF beskriver tillatte servere for SMTP-identiteter. Knytt den publiserte posten til SMTP-domenet som faktisk brukes. En eksisterende TXT-post er ikke i seg selv et vellykket resultat for den konkrete sendeveien.

DKIM knytter signerte meldingsdeler til det signerende domenet. Kontroller også om sendetjenesten faktisk signerer, og om signaturen er gyldig ved det planlagte mottakspunktet. Å publisere en offentlig nøkkel i DNS bekrefter ikke dette alene. Ta hensyn til tjenester som behandler meldingen etter signeringen.

DMARC krever en vellykket SPF- eller DKIM-kontroll med riktig domenesamsvar med den synlige avsenderen. Dette samsvaret kalles alignment. Finn derfor også den gjeldende DMARC-posten og samsvarsbetingelsene den angir.

Vurder et enkelt positivt resultat riktig

Tabellen nedenfor inneholder bevisst konstruerte antakelser for samme løsning, ikke målte resultater.

For godkjenning må den konkrete tjenesten støtte passende domenekonfigurasjon og tilhørende sending. Hvilken endring som trengs, avhenger av tjenesten. Å kopiere en vilkårlig eksisterende DNS-post eller forhastet sette en policy til avvisning løser ikke samsvarsproblemet.

Ta vare på den kontrollerte sendetesten som dokumentasjon

Dokumenter sendeveien, domenene som brukes, den kontrollerte meldingen og testresultatene. Hvis flere tjenester behandler meldingen, trenger også den veien et passende testtilfelle. Gjenta kontrollen etter endringer i tjeneste, domene eller meldingsbehandling.

Google behandler autentisering som en del av sine avsenderkrav. Selv et vellykket teknisk testtilfelle dokumenterer verken plassering i innboksen eller lesing. Registrer mottaksobservasjonen separat og angi hvem som håndterer mislykkede kontroller og leveringstilbakemeldinger.

Kilder

• IETF: Sender Policy Framework

• IETF: DKIM Signatures

• IETF: DMARC

• Google: Email sender guidelines