DMARC fail

DMARC fail to wynik weryfikacji wskazujący, że wiadomość nie przeszła pozytywnie kontroli zgodności z polityką DMARC domeny.

Co oznacza wynik DMARC fail

DMARC fail oznacza, że wiadomość nie spełniła warunków określonych przez politykę DMARC domeny widocznej w nagłówku From:. DMARC nie szyfruje poczty i nie jest samodzielnym mechanizmem uwierzytelniania. Łączy wyniki dwóch innych kontroli: SPF oraz DKIM, a następnie sprawdza dodatkowo zgodność domeny użytej w tych mechanizmach z domeną prezentowaną odbiorcy. Wynik negatywny może więc pojawić się wtedy, gdy SPF zakończy się niepowodzeniem, DKIM nie przejdzie weryfikacji albo żaden z poprawnych wyników nie jest odpowiednio wyrównany z domeną z nagłówka From:.

Weryfikacja DMARC jest wykonywana przez serwer odbierający wiadomość. Serwer analizuje między innymi domenę nadawcy widoczną dla użytkownika, adres użyty w mechanizmie SPF oraz domenę zapisaną w podpisie DKIM. DMARC uznaje wiadomość za zgodną, gdy co najmniej jeden z mechanizmów SPF lub DKIM zakończy się powodzeniem i spełni wymagania dotyczące zgodności domen. Jeżeli nie ma takiego wyniku, pojawia się DMARC fail. Nie oznacza to automatycznie, że wiadomość jest fałszywa, ale wskazuje, że nie potwierdzono jej zgodności z deklarowaną domeną nadawcy.

Rola SPF, DKIM i zgodności domen

SPF sprawdza, czy adres IP serwera wysyłającego jest wymieniony w rekordzie SPF domeny użytej jako koperta nadawcy, zwykle w adresie MAIL FROM. Ten adres może różnić się od adresu widocznego w nagłówku From:. Sam poprawny wynik SPF nie wystarcza zatem do uzyskania wyniku DMARC pass, jeśli domeny nie są zgodne według ustawionego trybu wyrównania. W trybie zrelaksowanym dopuszczalna jest wspólna domena organizacyjna, natomiast tryb ścisły wymaga zgodności domen w bardziej dokładnej postaci.

DKIM dodaje do wiadomości podpis kryptograficzny. Serwer odbierający pobiera klucz publiczny z rekordu TXT pod adresem zależnym od selektora podpisu, na przykład w domenie selector._domainkey.example.com. Następnie sprawdza, czy podpis odpowiada treści wiadomości i czy nie zmieniono podpisanych nagłówków. W kontekście DMARC istotna jest także domena wskazana w parametrze d= podpisu DKIM. Wiadomość może mieć poprawny podpis DKIM, ale nadal otrzymać DMARC fail, jeżeli domena z d= nie jest zgodna z domeną w nagłówku From:.

Dlaczego wiadomość może nie przejść kontroli

Jedną z częstych przyczyn jest wysyłka z nowego systemu, którego adresu IP nie dodano do rekordu SPF. Innym przypadkiem jest korzystanie z zewnętrznej platformy wysyłkowej, która podpisuje wiadomości własną domeną DKIM albo używa własnej domeny koperty nadawcy. Jeżeli konfiguracja tej platformy nie została powiązana z domeną używaną w widocznym adresie nadawcy, odbiorca może odnotować poprawny SPF lub DKIM, lecz brak zgodności wymaganej przez DMARC.

Na wynik wpływają również przekazywanie wiadomości, listy dyskusyjne, bramki pocztowe i modyfikowanie treści po podpisaniu DKIM. Przekazanie może spowodować, że wiadomość dotrze z adresem IP nieuwzględnionym w SPF pierwotnej domeny. Zmiana tematu, treści albo wybranych nagłówków może natomiast unieważnić podpis DKIM. Problemy bywają także skutkiem literówki w rekordzie DNS, nieprawidłowej składni rekordu TXT, wygasłego klucza DKIM lub opublikowania rekordu w innej domenie niż ta używana przez nadawcę.

Interpretacja polityki i postępowanie diagnostyczne

Sam wynik DMARC fail opisuje rezultat kontroli, natomiast sposób obsługi wiadomości zależy od polityki opublikowanej w rekordzie DMARC. Parametr p=none zwykle oznacza tryb obserwacji, w którym odbiorca nie otrzymuje polecenia odrzucenia wiadomości wyłącznie na podstawie tej polityki. Parametr p=quarantine sugeruje potraktowanie wiadomości jako podejrzanej, a p=reject wskazuje preferencję odrzucenia. Ostateczne działanie może zależeć od lokalnych reguł serwera odbiorczego, dlatego DMARC fail nie zawsze oznacza identyczny skutek w każdej skrzynce.

Diagnostyka powinna rozpocząć się od odczytania pełnych nagłówków wiadomości, zwłaszcza pól Authentication-Results, Received-SPF, DKIM-Signature oraz adresu z From:. Następnie należy porównać domeny użyte przez SPF i DKIM z domeną widoczną dla odbiorcy oraz sprawdzić odpowiednie rekordy DNS typu TXT. Warto również ustalić, który system faktycznie wysłał wiadomość i czy po drodze nie zmodyfikowała jej bramka pocztowa. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów i komputerów PC, w tym diagnostykę problemów z oprogramowaniem pocztowym oraz konfiguracją urządzeń używanych do odbierania i wysyłania wiadomości.