DMARC policy enforcement to faktyczne egzekwowanie zdefiniowanej polityki wobec wiadomości niepomyślnie zweryfikowanych.
Na czym polega egzekwowanie polityki DMARC
DMARC policy enforcement oznacza zastosowanie decyzji określonej w rekordzie DMARC do wiadomości, która nie spełniła wymaganych warunków uwierzytelnienia. Sam rekord DMARC jest publikowany w systemie DNS pod nazwą zaczynającą się od _dmarc, na przykład _dmarc.example.com. W rekordzie znajduje się między innymi tag p, określający oczekiwane postępowanie wobec wiadomości niespełniających kontroli. Dostępne wartości tego tagu to none, quarantine oraz reject.
Egzekwowanie polityki odbywa się po stronie serwera odbierającego pocztę. Serwer analizuje wynik SPF i DKIM oraz sprawdza ich zgodność z domeną widoczną w polu From:. Ta zgodność jest nazywana alignment. Wiadomość może przejść kontrolę DMARC, jeżeli poprawnie uwierzytelni ją SPF albo DKIM i jednocześnie spełni wymagania dotyczące zgodności domen. Jeżeli żaden z tych mechanizmów nie zapewni prawidłowego wyniku, odbiorca stosuje politykę opublikowaną przez właściciela domeny, o ile jego własne zasady filtrowania na to pozwalają.
Rola SPF, DKIM i zgodności domen
DMARC nie zastępuje SPF ani DKIM, lecz wykorzystuje ich wyniki do podjęcia decyzji. SPF sprawdza, czy adres IP serwera wysyłającego jest uprawniony do wysyłania poczty dla domeny wskazanej w mechanizmie SMTP envelope-from, czyli w adresie używanym podczas dostarczania wiadomości. DKIM dodaje do wiadomości podpis kryptograficzny, który odbiorca weryfikuje na podstawie klucza publicznego opublikowanego w DNS. Podpis zawiera między innymi domenę podpisującą, oznaczaną tagiem d=.
W DMARC istotne jest nie tylko to, czy SPF lub DKIM zakończyły się powodzeniem, ale również czy domena użyta w danym mechanizmie odpowiada domenie z nagłówka From:. Przy ścisłym alignment wymagana jest identyczność domen. Przy relaksowanym alignment dopuszczona jest zgodność organizacyjna, na przykład między domeną główną a jej subdomeną. Ustawienia aspf i adkim w rekordzie DMARC pozwalają określić tryb zgodności odpowiednio dla SPF i DKIM. Z punktu widzenia egzekwowania oznacza to, że wiadomość z poprawnym podpisem DKIM może nadal nie przejść DMARC, jeżeli podpis pochodzi z niezgodnej domeny.
Różnica między none, quarantine i reject
Polityka p=none nie nakazuje odrzucania ani przenoszenia wiadomości do spamu. Jest to tryb obserwacyjny: odbiorca może zebrać informacje o wynikach kontroli, a właściciel domeny może sprawdzić, jakie systemy wysyłają pocztę i gdzie występują błędy alignment. Nie oznacza to jednak, że każda wiadomość zostanie dostarczona. Serwer odbierający nadal może zastosować własne filtry antyspamowe, blokady reputacyjne albo inne reguły bezpieczeństwa.
Przy p=quarantine domena żąda potraktowania wiadomości niespełniającej DMARC jako podejrzanej. Typowym rezultatem jest umieszczenie jej w folderze spamu lub kwarantannie, lecz dokładne zachowanie zależy od serwera odbiorczego. Wartość p=reject wyraża żądanie odrzucenia wiadomości podczas dostarczania. Odbiorca może wtedy zakończyć transakcję SMTP kodem błędu i nie przyjąć treści wiadomości. DMARC pozostawia jednak decyzję techniczną serwerowi odbierającemu, dlatego opublikowana polityka jest instrukcją dla odbiorców, a nie mechanizmem zapewniającym identyczne działanie wszystkich systemów pocztowych.
Jak analizować wynik egzekwowania DMARC
Diagnozę należy rozpocząć od odczytania rekordu TXT dla właściwej domeny i sprawdzenia, czy zawiera poprawny tag v=DMARC1 oraz oczekiwaną wartość p. Następnie trzeba ustalić, z jakiej domeny faktycznie wysyłana jest wiadomość, jaki adres IP łączy się z serwerem odbiorczym oraz czy wiadomość posiada podpis DKIM. W nagłówkach można znaleźć wyniki zapisane w polu Authentication-Results, ale należy traktować je jako dane przekazane przez konkretny serwer odbiorczy, a nie jako uniwersalny wynik dla wszystkich odbiorców.
Typowym problemem jest poprawnie działający SPF lub DKIM skonfigurowany dla narzędzia wysyłkowego, którego domena nie jest zgodna z domeną w nagłówku From:. W takiej sytuacji wiadomość może wyglądać na uwierzytelnioną, lecz mimo to nie przejść kontroli DMARC. Przydatne są raporty agregowane wysyłane na adres określony tagiem rua; zawierają one między innymi informacje o źródłach wysyłki, wynikach SPF i DKIM oraz zastosowanej polityce. Raporty te pozwalają odróżnić legalny system wysyłający pocztę od wiadomości podszywającej się pod domenę.
Jeżeli po włączeniu quarantine albo reject legalne wiadomości trafiają do spamu lub są odrzucane, trzeba zweryfikować wszystkie rzeczywiste źródła wysyłki, rekord SPF, podpisy DKIM i zgodność domen. Zmiana polityki bez takiej weryfikacji może zakłócić dostarczanie poprawnej poczty. Samo DMARC nie naprawia błędnej konfiguracji nadawcy; egzekwuje jedynie regułę wobec wyniku uzyskanego przez odbiorcę.
