DMARC môže zlyhať aj vtedy, keď SPF aj DKIM samostatne prejdú. Dôvodom môže byť nesúlad domén: overili ste poskytovateľa rozosielky, ale správa sa navonok hlási k inej doméne. Na diagnostiku porovnajte doménu vo From s doménou overenou cez SPF a s doménou podpisu DKIM. Samotná prítomnosť DNS záznamov takýto súlad nepreukazuje.
Ktoré hodnoty si vypísať
Z originálu jednej prijatej správy si pripravte jednoduchý pracovný záznam. Uveďte viditeľné From, výsledok spf a smtp.mailfrom, výsledok dkim a podpisujúcu doménu d=. Pridajte výsledok dmarc a header.from od dôveryhodného prijímateľa. Reply-To je adresa na odpoveď; jej zmena sama nevyrieši porovnávanie domén, ktoré DMARC používa.
Diagnostika krok za krokom
- Vyberte správu odoslanú rovnakou cestou ako problémová kampaň. Nepoužívajte namiesto nej osobný e-mail z iného klienta; mohol prejsť cez inú infraštruktúru a iný podpis.
- Zapíšte doménu From bez mena odosielateľa. Potom pri SPF oddeľte technický výsledok od otázky, či overená doména zodpovedá From podľa používaného režimu súladu.
- Pri každom relevantnom podpise DKIM skontrolujte výsledok a d=. Úspešný podpis cudzej domény nie je automaticky úspešná vetva DMARC pre vašu doménu.
- Overte režim aspf a adkim v platnej politike DMARC. Uvoľnený režim umožňuje súlad podľa organizačnej domény; prísny vyžaduje presnú zhodu. Podobný názov alebo spoločná koncovka samy osebe nestačia.
- Ak chýba úspešná zosúladená vetva, nastavte u odosielacej služby podporovaný vlastný podpis DKIM alebo vlastnú doménu obálky. Po konfigurácii pošlite novú správu a znovu skontrolujte prijaté hlavičky.
Hypotetický príklad dvoch cudzích domén
Správa má From: obchod@predajna.example. Prijímateľ uvedie spf=pass pre smtp.mailfrom=platforma.example a dkim=pass pre d=platforma.example. Obidva výsledky overujú platformu, no nie sú v súlade s predajna.example. Ak služba začne platne podpisovať s d=predajna.example, úspešný zosúladený podpis môže splniť DMARC aj pri nezmenenej cudzej doméne obálky.
Pri subdoménach si dajte pozor na režim politiky. From na predajna.example a platný podpis pre posta.predajna.example môžu v uvoľnenom režime súhlasiť, kým prísny režim túto rozdielnosť neprijme. Príklad slúži na vysvetlenie princípu, nie ako hotová konfigurácia. Pri skutočnej doméne si overte hranicu organizačnej domény a výsledok prijímateľa.
Oprava bez zbytočného sprísňovania
Politiku p=reject nenastavujte ako pokus o opravu chybného podpisu. Politika určuje požadované zaobchádzanie pri zlyhaní; nevytvorí chýbajúci súlad. Pred jej sprísnením zmapujte legitímne odosielacie služby vrátane fakturácie, e-shopu a zákazníckej podpory. Zmena nastavenia jedinej kampane nemusí opraviť ostatné zdroje a mohla by skryť ďalší problém.
Aj DMARC pass necháva otvorenú otázku umiestnenia správy. Overenie identity nie je zárukou doručenej pošty a kontrolný e-mail nepredpovedá skúsenosť celej databázy. Uchovajte preto zvlášť technické výsledky a pozorované umiestnenie. Ak sa rozchádzajú, pokračujte odosielacou cestou, obsahom a spätnou väzbou príjemcov namiesto opakovaného menenia už správneho súladu.
Ak máte viac podpisov DKIM, nevychádzajte iba z prvého nájdeného riadka. Zapíšte výsledok a doménu každého podpisu, ktorý prijímateľ vyhodnotil. Jeden nesúvisiaci neúspešný podpis nemusí sám určovať konečný výsledok DMARC, keď existuje iná úspešná zosúladená vetva. Rozhodnutie opierajte o úplnú kombináciu výsledkov konkrétnej správy.
Zdroje a ďalší krok
RFC 9989: identifikačný súlad a vyhodnotenie DMARC
Gmail: pokyny pre odosielateľov
Ak chcete porovnať správanie konkrétnej správy v dostupných testovacích schránkach, spustite test doručiteľnosti. Výsledok opisuje iba pozorovanú vzorku a čas testu; nepotvrdzuje doručenie všetkým zákazníkom ani pokrytie slovenských poskytovateľov.
Rozsah merania a jeho obmedzenia opisuje metodika testovania.