DMARC policy reject to tryb polityki DMARC nakazujący odrzucenie wiadomości niezgodnych z weryfikacją SPF i DKIM.
Jak działa polityka DMARC reject
DMARC policy reject jest wartością polityki publikowanej w rekordzie TXT dla domeny internetowej. Skrót DMARC oznacza Domain-based Message Authentication, Reporting and Conformance. Polityka określa, jak serwer odbierający pocztę powinien postąpić z wiadomością, która nie przejdzie wymaganej weryfikacji tożsamości nadawcy. Wariant p=reject oznacza żądanie odrzucenia takich wiadomości, a nie dostarczenia ich do skrzynki odbiorczej ani automatycznego przeniesienia do folderu spamu.
DMARC nie zastępuje SPF ani DKIM. SPF sprawdza, czy adres IP serwera wysyłającego jest uprawniony do wysyłania poczty dla domeny wskazanej w mechanizmie SPF. DKIM wykorzystuje podpis kryptograficzny umieszczony w nagłówkach wiadomości i pozwala zweryfikować, czy podpisana treść oraz wybrane nagłówki nie zostały zmienione. DMARC łączy wyniki tych kontroli z wymaganiem zgodności domeny widocznej dla odbiorcy, zwykle znajdującej się w nagłówku From:.
Wyrównanie domeny w SPF i DKIM
O zaliczeniu kontroli DMARC decyduje nie tylko samo przejście SPF albo DKIM, lecz także tak zwane wyrównanie domen, określane jako alignment. Dla SPF porównuje się domenę używaną w adresie koperty SMTP, reprezentowanym przez mechanizm MAIL FROM, z domeną widoczną w nagłówku From:. Dla DKIM porównywana jest domena zawarta w parametrze d= podpisu DKIM z domeną z nagłówka From:.
Wyrównanie może działać w trybie ścisłym albo relaksowanym. Tryb relaksowany dopuszcza zgodność organizacyjną domen, na przykład domeny głównej i subdomeny, natomiast tryb ścisły wymaga takiej samej nazwy domeny. Ustawienia te kontrolują tagi aspf dla SPF oraz adkim dla DKIM. Wiadomość spełnia warunek DMARC, gdy przynajmniej jeden z mechanizmów, SPF lub DKIM, przejdzie zarówno własną walidację, jak i wymagane wyrównanie z domeną z pola From:.
Skutki zastosowania p=reject
Jeżeli wiadomość nie przejdzie DMARC, serwer odbiorczy może odrzucić ją podczas przyjmowania poczty. W typowym przebiegu SMTP oznacza to odpowiedź z kodem błędu z klasy 5xx, po której serwer wysyłający powinien potraktować dostarczenie jako nieudane. Konkretne zachowanie zależy od systemu odbiorczego, ponieważ polityka DMARC jest instrukcją dla odbiorcy, a nie technicznym mechanizmem wymuszającym identyczną reakcję na wszystkich serwerach.
Wartość reject ogranicza ryzyko dostarczenia wiadomości, które podszywają się pod daną domenę w nagłówku From:. Nie gwarantuje jednak zablokowania każdej próby nadużycia nazwy organizacji. DMARC ocenia określoną domenę nadawcy i wyniki SPF oraz DKIM; nie jest ogólnym filtrem treści, skanerem załączników ani systemem rozpoznającym wszystkie oszustwa. Wiadomość może zostać zaakceptowana, jeżeli atakujący korzysta z własnej domeny albo jeżeli legalny nadawca został poprawnie skonfigurowany i jego wiadomość przechodzi wymagane kontrole.
Konfiguracja, raporty i bezpieczna weryfikacja
Politykę DMARC publikuje się w rekordzie TXT pod nazwą _dmarc w danej domenie. Przykładowy rekord może zawierać wersję protokołu, politykę oraz adresy raportowania, na przykład v=DMARC1; p=reject; rua=mailto:Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.. Adres raportowania jest opcjonalny, a domena użyta w przykładzie powinna zostać zastąpiona rzeczywistą domeną kontrolowaną przez właściciela konfiguracji. Sam zapis rekordu nie naprawia SPF ani DKIM i nie nadaje uprawnień serwerom wysyłającym.
Przed zastosowaniem p=reject trzeba ustalić wszystkie legalne źródła wysyłki, w tym systemy transakcyjne, formularze, platformy biuletynów oraz zewnętrzne usługi wysyłające pocztę w imieniu domeny. Następnie należy sprawdzić, czy te źródła mają poprawny SPF lub DKIM oraz czy wynik jest wyrównany z domeną z nagłówka From:. Pomocne są raporty zbiorcze DMARC oznaczane tagiem rua, a także analiza nagłówków konkretnych wiadomości. Nieprawidłowo wdrożona polityka reject może powodować odrzucanie prawidłowej korespondencji, dlatego zmiana powinna być poprzedzona testami i obserwacją raportów. Przy problemach z komputerem użytkownika należy dodatkowo odróżnić błąd konfiguracji domeny i serwera pocztowego od lokalnych przyczyn, takich jak nieprawidłowe ustawienia programu pocztowego, uszkodzony profil konta lub problem z połączeniem. W zastosowaniach dotyczących sprzętu komputerowego diagnostyka może obejmować sprawdzenie systemu, aplikacji oraz podstawowej komunikacji sieciowej, lecz sama polityka DMARC pozostaje regułą publikowaną w DNS i egzekwowaną przez serwery pocztowe.
