Policy alignment w DMARC to wymóg zgodności domeny z nagłówka From z domeną uwierzytelnioną przez SPF lub DKIM.
Na czym polega zgodność domen w DMARC
Policy alignment, czyli zgodność identyfikatorów domenowych, jest jednym z warunków skutecznego zastosowania mechanizmu DMARC. Serwer odbiorcy porównuje domenę widoczną w nagłówku From z domeną używaną przez uwierzytelnienie SPF albo z domeną zapisaną w podpisie DKIM. Sam pozytywny wynik SPF lub DKIM nie wystarcza, jeżeli uwierzytelniona domena nie jest odpowiednio powiązana z domeną prezentowaną odbiorcy wiadomości.
DMARC odnosi się przede wszystkim do domeny z nagłówka From, ponieważ jest to adres widoczny w programie pocztowym. SPF uwierzytelnia domenę z identyfikatora koperty SMTP, zwykle określanego jako domena MAIL FROM albo domena ścieżki zwrotnej. DKIM uwierzytelnia domenę znajdującą się w parametrze d= podpisu. Alignment oznacza więc sprawdzenie relacji między domeną nagłówka From a jednym z tych dwóch identyfikatorów.
Tryb relaxed i strict dla SPF oraz DKIM
DMARC przewiduje dwa sposoby oceny zgodności: relaxed oraz strict. W trybie relaxed domeny mogą różnić się subdomeną, ale muszą należeć do tej samej domeny organizacyjnej. Przykładowo domena z nagłówka From może być subdomeną, a domena użyta przez SPF może być domeną nadrzędną. Ocena zależy od prawidłowego ustalenia granicy domeny organizacyjnej, a nie wyłącznie od prostego porównania całych napisów.
Tryb strict wymaga pełnej zgodności nazw domen. Różnica między domeną główną a subdomeną może wtedy spowodować brak alignment, nawet gdy SPF albo DKIM zakończy się wynikiem pozytywnym. Dla SPF ustawienie określa tag aspf, natomiast dla DKIM służy do tego tag adkim. Oba tagi mogą przyjmować wartości r dla relaxed oraz s dla strict. Jeżeli odpowiedni tag nie został podany, stosowany jest tryb relaxed.
Wiadomość przechodzi kontrolę DMARC, gdy co najmniej jeden mechanizm, SPF lub DKIM, uzyska pozytywny wynik uwierzytelnienia oraz jednocześnie spełni wymagany poziom zgodności domen. Pozytywny DKIM z domeną niezwiązaną z domeną From nie zapewnia samodzielnie przejścia DMARC. Analogicznie poprawny SPF dla domeny ścieżki zwrotnej nie wystarczy, jeśli ta domena nie spełnia zasad alignment.
Jak alignment wpływa na dostarczanie wiadomości
Polityka DMARC jest publikowana w rekordzie TXT pod nazwą _dmarc w domenie nadawcy. Przykładowy rekord może zawierać tag v=DMARC1 oraz p=none. Tag p wskazuje działanie deklarowane przez właściciela domeny w przypadku wiadomości, która nie przejdzie kontroli DMARC. Dostępne wartości to none, quarantine oraz reject. Alignment nie zmienia wyniku SPF ani DKIM, lecz decyduje, czy ich rezultat może zostać uznany za zgodny z domeną widoczną dla odbiorcy.
Przy analizie problemu trzeba sprawdzić pełny łańcuch przekazywania wiadomości. Należy porównać domenę z nagłówka From, domenę MAIL FROM używaną przez SPF, domenę d= z podpisu DKIM oraz wartości aspf i adkim w opublikowanej polityce. Istotne są również nagłówki wynikowe, takie jak Authentication-Results, w których odbiorca może zapisać osobno wynik SPF, DKIM i DMARC wraz z informacją o domenie poddanej ocenie.
Częstą przyczyną braku zgodności jest wysyłanie wiadomości przez zewnętrzną usługę, która używa własnej domeny w SPF albo podpisuje wiadomość własną wartością d=. Sama autoryzacja nadawcy w rekordzie SPF nie gwarantuje jeszcze alignment, ponieważ SPF może wskazywać inną domenę niż ta umieszczona w From. W przypadku DKIM trzeba sprawdzić nie tylko obecność podpisu i poprawność kryptograficzną, lecz także domenę d= oraz zgodność z domeną nagłówka From.
Sprawdzanie ustawień policy alignment
Diagnostykę należy rozpocząć od odczytania rekordu TXT _dmarc oraz ustalenia, czy polityka wymaga trybu relaxed, czy strict. Następnie trzeba przeanalizować rzeczywistą wiadomość, najlepiej z pełnymi nagłówkami. Warto zweryfikować, czy podpis DKIM nie został unieważniony po drodze przez zmianę treści lub nagłówków, czy domena SPF odpowiada domenie ścieżki zwrotnej oraz czy domena z From jest zgodna z wymaganiami polityki.
Jeżeli wiadomość przechodzi DKIM, ale nie przechodzi DMARC, należy porównać wartość d= z domeną nagłówka From. Jeżeli SPF kończy się wynikiem pass, ale DMARC nadal zgłasza błąd, trzeba porównać domenę MAIL FROM z domeną From i uwzględnić wybrany tryb alignment. Testy powinny obejmować wszystkie legalne źródła wysyłki, ponieważ różne systemy mogą stosować odmienną domenę koperty, podpis DKIM albo własne reguły nadawcy.
Wynik kontroli należy interpretować w kontekście konkretnego odbiorcy, ponieważ ostateczne działanie wobec wiadomości może zależeć od opublikowanej polityki, lokalnych reguł serwera pocztowego oraz innych mechanizmów reputacyjnych. Sam raport DMARC nie naprawia konfiguracji. Wskazuje natomiast, które źródła wysyłki nie zapewniają prawidłowego uwierzytelnienia lub zgodności domen i wymagają korekty ustawień SPF, DKIM albo domen używanych przez system wysyłający.
