DMARC alignment to wymóg zgodności domeny wykorzystanej w nagłówku nadawcy z domeną potwierdzoną przez SPF lub DKIM.
Na czym polega DMARC alignment
DMARC alignment, czyli zgodność identyfikatorów domenowych, określa relację między domeną widoczną dla odbiorcy w nagłówku From: a domeną potwierdzoną przez mechanizm SPF albo DKIM. Sam fakt, że wiadomość przechodzi SPF lub DKIM, nie wystarcza jeszcze do spełnienia wymagań DMARC. Wynik musi być powiązany z domeną używaną jako adres nadawcy prezentowany użytkownikowi. Dzięki temu serwer odbiorcy może sprawdzić, czy autoryzacja techniczna dotyczy tej samej domeny, która faktycznie widnieje w polu nadawcy.
W praktyce DMARC uznaje wiadomość za zgodną, gdy co najmniej jeden z dwóch mechanizmów przejdzie pomyślnie i jednocześnie będzie odpowiednio wyrównany z domeną z nagłówka From:. SPF potwierdza domenę z koperty SMTP, zwykle widoczną w adresie Return-Path:, natomiast DKIM wykorzystuje domenę wskazaną w parametrze d= podpisu. Jeżeli SPF przejdzie dla jednej domeny, a DKIM dla innej, wiadomość może nadal nie spełnić DMARC, mimo że oba mechanizmy technicznie zakończyły się wynikiem „pass”.
Wyrównanie SPF i DKIM w jednej wiadomości
W przypadku SPF porównywana jest domena użyta podczas uwierzytelniania adresu nadawcy koperty SMTP z domeną z nagłówka From:. Ten adres może różnić się od adresu wyświetlanego odbiorcy, ponieważ transport pocztowy posługuje się oddzielnymi polami koperty i nagłówków wiadomości. Dla przykładu usługa wysyłkowa może używać domeny mailer.example.net w adresie koperty, podczas gdy użytkownik widzi Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.. Przy ustawieniu ścisłego wyrównania SPF takie domeny nie są zgodne. Przy ustawieniu swobodnym mogą zostać uznane za zgodne, jeśli mają tę samą domenę organizacyjną, na przykład example.net.
DKIM alignment działa inaczej, ponieważ domena jest pobierana bezpośrednio z podpisu DKIM, z pola d=. Jeżeli wiadomość ma w nagłówku From: Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript., podpis z d=example.com jest wyrównany zarówno w trybie ścisłym, jak i swobodnym. Podpis z d=mail.example.com może być zgodny w trybie swobodnym, lecz nie w ścisłym. Oprócz domeny podpis musi przejść zwykłą weryfikację DKIM, czyli podpis musi odpowiadać treści i nagłówkom objętym podpisem, a klucz publiczny musi być dostępny w odpowiednim rekordzie DNS.
Tryb relaxed i strict oraz wpływ przekazywania poczty
DMARC definiuje dwa tryby wyrównania: swobodny, oznaczany jako relaxed, oraz ścisły, oznaczany jako strict. W trybie swobodnym dopuszczane są domeny pozostające w tej samej domenie organizacyjnej, nawet jeśli używają różnych subdomen. W trybie ścisłym domena musi odpowiadać dokładnie, z uwzględnieniem pełnej nazwy domenowej. Ustawienia te mogą być określone osobno dla SPF i DKIM, dlatego konfiguracja może wymagać sprawdzenia parametrów aspf oraz adkim w rekordzie TXT DMARC.
Wyrównanie ma szczególne znaczenie przy korzystaniu z zewnętrznych systemów wysyłkowych, formularzy kontaktowych, platform marketingowych i usług transakcyjnych. Taka usługa może poprawnie podpisywać wiadomości DKIM, ale używać własnej domeny w parametrze d=, albo wysyłać je z własnej domeny koperty SMTP. Zmiana trasy wiadomości, przekazywanie przez inną skrzynkę lub modyfikacja nagłówków może również spowodować utratę SPF albo DKIM. Dlatego ocena DMARC powinna uwzględniać rzeczywisty raport uwierzytelniania, a nie tylko deklarowaną konfigurację nadawcy.
Jak rozpoznać problem z DMARC alignment
Podstawowym miejscem kontroli jest nagłówek Authentication-Results:, w którym serwer odbiorcy może zapisać wyniki SPF, DKIM i DMARC. Warto porównać domenę z pola header.from z wartością smtp.mailfrom dla SPF oraz z domeną d dla DKIM. Przykładowy wynik spf=pass nie oznacza jeszcze wyrównania, jeśli smtp.mailfrom wskazuje inną, niepowiązaną domenę. Analogicznie dkim=pass wymaga sprawdzenia, czy domena podpisująca jest zgodna z domeną z nagłówka From:.
Konfiguracja powinna obejmować wszystkie uprawnione źródła wysyłki, w tym systemy działające poza głównym serwerem pocztowym. Rekord SPF musi obejmować właściwe serwery lub mechanizmy autoryzowane do wysyłania, a rekordy DKIM muszą być dostępne pod selektorami używanymi przez nadawcę. Następnie trzeba sprawdzić, czy każda usługa korzysta z domeny zgodnej z adresem widocznym dla odbiorcy. Raporty DMARC agregowane przez odbiorców pomagają wykryć źródła, które przechodzą SPF lub DKIM bez alignmentu, oraz odróżnić błędną konfigurację od skutków przekazywania wiadomości. Jeżeli problem z wyświetlaniem lub wysyłaniem wiadomości dotyczy konkretnego stanowiska, a nie samej konfiguracji domeny, Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną diagnostyką i naprawą laptopów oraz komputerów PC w tym zakresie.
