niezgodność DMARC

Niezgodność DMARC to brak dopasowania domeny z nagłówka From do domeny uwierzytelnionej przez SPF lub DKIM.

Na czym polega niezgodność DMARC

Niezgodność DMARC występuje wtedy, gdy wiadomość nie spełnia wymaganego dopasowania między domeną widoczną w nagłówku From a domeną używaną przez mechanizm SPF albo DKIM. DMARC nie zastępuje tych mechanizmów, lecz wykorzystuje ich wyniki do oceny, czy nadawca wiadomości może zostać powiązany z domeną prezentowaną odbiorcy. Kluczowe znaczenie ma domena organizacyjna wskazana w adresie nadawcy, a nie sama nazwa wyświetlana obok adresu.

SPF sprawdza, czy adres IP serwera wysyłającego jest uprawniony do wysyłania poczty dla domeny z koperty SMTP, określanej jako adres z mechanizmu MAIL FROM. DKIM dodaje do wiadomości podpis kryptograficzny, którego domena znajduje się w parametrze d=. Dla DMARC wynik jest zgodny wtedy, gdy domena z From pozostaje odpowiednio dopasowana do domeny SPF lub DKIM i sam mechanizm uwierzytelnienia zakończył się powodzeniem. Wystarczający jest pozytywny, zgodny wynik jednego z tych dwóch mechanizmów.

Jak rozpoznać problem w nagłówkach wiadomości

Najpewniejszym miejscem sprawdzenia niezgodności są pełne nagłówki wiadomości, a nie treść komunikatu wyświetlanego w programie pocztowym. W nagłówku Authentication-Results można znaleźć wyniki takie jak dmarc=pass albo dmarc=fail, a także osobne wartości spf=pass, dkim=pass i informacje o domenach użytych podczas weryfikacji. Należy porównać adres z pola From, domenę z podpisu DKIM oznaczoną przez d= oraz domenę z koperty SPF, często zapisywaną jako smtp.mailfrom.

Przykładowo wiadomość może mieć w From domenę firma.pl, pozytywny SPF dla system-mailowy.example i pozytywny DKIM z domeną firma.pl. W takim przypadku DMARC może przejść dzięki DKIM, mimo że domeny SPF nie są zgodne. Odwrotna sytuacja również jest możliwa: podpis DKIM może pochodzić z domeny dostawcy usługi, lecz zgodny SPF pozwala przejść kontroli DMARC. Problem pojawia się między innymi wtedy, gdy oba mechanizmy są pozytywne, ale ich domeny nie są dopasowane do domeny z From.

Na wynik wpływa także tryb dopasowania określony w rekordzie DMARC domeny, publikowanym w DNS pod nazwą zaczynającą się od _dmarc. W trybie zrelaksowanym domeny mogą różnić się subdomeną, jeśli należą do tej samej domeny organizacyjnej, na przykład mail.firma.pl i firma.pl. Tryb ścisły wymaga dokładnej zgodności nazw domen. Ustawienia aspf=s i adkim=s dotyczą odpowiednio SPF i DKIM; przy braku tych parametrów stosowane jest dopasowanie zrelaksowane zgodnie z zasadami DMARC opisanymi w RFC 7489.

Skąd bierze się rozbieżność między nadawcą a uwierzytelnieniem

Niezgodność często powstaje po połączeniu kilku sposobów wysyłania poczty: programu pocztowego, formularza kontaktowego, systemu faktur, newslettera albo zewnętrznej platformy powiadomień. Każdy z tych systemów może korzystać z innego serwera SMTP i innej domeny technicznej. Jeżeli dostawca podpisuje wiadomość DKIM własną domeną, a w polu From pozostaje domena firmowa, podpis może być kryptograficznie poprawny, lecz niezgodny z DMARC. Podobnie SPF może uwierzytelnić domenę techniczną używaną w kopercie SMTP, ale nie domenę widoczną dla odbiorcy.

Do problemu przyczyniają się również przekazywanie wiadomości, zmiana adresu nadawcy przez aplikację, błędnie ustawione rekordy DNS oraz nieprawidłowa konfiguracja usług wysyłkowych. Przekazanie poczty może zmienić serwer wysyłający i spowodować niepowodzenie SPF. Zmiana treści podpisanej wiadomości może unieważnić DKIM, chociaż samo przekazanie nie musi automatycznie niszczyć podpisu. Jeżeli wiadomość nie ma żadnego skutecznego, zgodnego mechanizmu, odbiorca stosuje politykę opublikowaną w rekordzie DMARC, na przykład p=none, p=quarantine albo p=reject. Pierwsza wartość służy głównie do obserwacji, druga sugeruje skierowanie wiadomości do kwarantanny, a trzecia żąda odrzucenia wiadomości niespełniających kontroli.

Podczas analizy warto sprawdzić także raporty zbiorcze DMARC, jeśli domena ma skonfigurowany adres rua. Raport pokazuje między innymi źródła wysyłki, wyniki SPF i DKIM oraz informację o zgodności domen. Nie należy jednak uznawać pojedynczego raportu za pełny dowód przyczyny problemu: część odbiorców nie wysyła raportów, raporty mogą obejmować różne okresy, a jeden system może wysyłać wiadomości z wielu adresów IP. Zmianę konfiguracji należy poprzedzić ustaleniem wszystkich legalnych źródeł korespondencji, aby nie usunąć potrzebnego podpisu lub nie zablokować prawidłowych wiadomości.

Wpływ niezgodności DMARC na odbieranie poczty

Skutki zależą od polityki domeny nadawcy oraz od sposobu egzekwowania zabezpieczeń przez serwer odbiorcy. Przy p=none niezgodność jest rejestrowana i może trafić do raportów, lecz sama polityka nie nakazuje kwarantanny ani odrzucenia. Przy p=quarantine wiadomość może zostać oznaczona jako podejrzana lub umieszczona w folderze spamu. Przy p=reject serwer odbiorcy może odrzucić ją podczas dostarczania. Konkretne zachowanie zależy od implementacji odbiorcy, jego dodatkowych reguł antyspamowych oraz od tego, czy wiadomość przeszła SPF lub DKIM z prawidłowym dopasowaniem.

Na komputerze użytkownika problem może wyglądać jak brak wiadomości, opóźnienie dostarczenia, komunikat o odrzuceniu albo ostrzeżenie w nagłówkach. Sam program pocztowy zwykle nie naprawi niezgodności DMARC, ponieważ błąd dotyczy domen DNS, serwera wysyłającego i podpisywania wiadomości. Można natomiast zebrać pełne nagłówki, zapisać dokładny komunikat zwrotny oraz ustalić, z jakiej aplikacji i przez jaki dostawca wiadomość została wysłana. Te informacje pozwalają odróżnić błąd konfiguracji domeny od problemu lokalnego, takiego jak filtr antyspamowy, nieprawidłowa synchronizacja konta lub awaria programu pocztowego.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a w przypadku niezgodności DMARC może pomóc w zebraniu danych diagnostycznych z komputera użytkownika, odczytaniu nagłówków oraz rozdzieleniu problemu programu pocztowego od problemu występującego po stronie domeny i usługi wysyłkowej.