Pred sprísnením DMARC politiky overte, že poznáte všetky legitímne odosielacie zdroje a ich súlad s From. Hodnota none nevyrieši chybný podpis a reject ho neopraví. Politika vyjadruje požadované zaobchádzanie pri neúspešnej validácii; konečné rozhodnutie zostáva prijímateľovi. Zmena bez inventára môže zasiahnuť aj zabudnuté objednávkové alebo fakturačné oznámenia.
Začnite inventárom a dôkazmi
Ku každej službe priraďte vlastníka a získajte novú správu. Zapíšte výsledok SPF, DKIM a DMARC, nie iba existenciu DNS. Ak používate reporty, vyhodnocujte ich podľa súčasnej špecifikácie a schopností svojho nástroja; neznámy zdroj nemusí byť automaticky útočník ani automaticky oprávnená aplikácia. Zistite, či ho vie niekto v organizácii identifikovať a potvrdiť.
- Uložte aktuálnu politiku a vyznačte, kde sa spravuje autoritatívne DNS. Určte človeka, ktorý vie zmenu vrátiť, a podmienku, pri ktorej sa návrat vykoná.
- Opravte preukázané nesúlady legitímnych zdrojov pred zmenou požadovaného spracovania. Pri službe bez vlastného podpisu alebo obálky overte podporovanú konfiguráciu u dodávateľa.
- Po každom kroku sledujte konkrétne dôležité toky a hlásenia. Samostatne overte subdomény a ich politiku podľa aktuálneho pravidla vyhľadania; nepredpokladajte, že rovnaká značka znamená jednotné nastavenie.
Príklad účtovného systému
Hypotetická firma má správne nastavený newsletter a pracovnú poštu, ale starý účtovný systém podpisuje cudzou doménou bez potrebného súladu. Pred sprísnením politiky sa jeho správca dozvie o chybe z kontrolnej správy. Najprv opraví podporovanú odosielaciu cestu a až potom pokračuje plán politiky. Tým sa nezamieňa cieľ ochrany domény s náhodným vyradením legitímnej fakturácie.
Neurčujte časový harmonogram iba podľa všeobecnej rady o počte dní. Rozhoduje dostupnosť dôkazov a pokrytie reálnych prevádzkových cyklov. Mesačný typ oznámenia by mohol uniknúť krátkemu pozorovaniu, hoci denné kampane vyzerajú dobre. Ak určitý tok ešte nebol overený, uveďte ho ako otvorenú položku a rozhodnite o ďalšom postupe s jeho vlastníkom.
Čo politika negarantuje
Ani prísnejšia politika nedokazuje, že každá prijatá správa je bezpečná, ani nezabezpečuje Inbox. DMARC sa týka doménovej identity a miestne spracovanie môže zohľadniť ďalšie okolnosti. Report po zmene preto oddeľuje technické súlady, funkčnosť dôležitých tokov a pozorované umiestnenie. Nepoužívajte úspech jednej kampane ako jedinú akceptáciu doménovej zmeny pre celú organizáciu.
Zdroje a overenie v praxi
RFC 9989: politika DMARC a miestne rozhodnutie
Websupport: nastavenia SPF, DKIM a DMARC
Otestujte vlastnú správu cez dostupné kontrolné schránky. Ide o pozorovanie vzorky, nie o záruku pre zákazníkov. Rozsah a obmedzenia vysvetľuje metodika testovania. Pokrytie slovenských poskytovateľov si overte v aktuálnom rozhraní.
Súvisiace postupy
DMARC: prečo SPF pass a DKIM pass nemusia stačiť
Gmail a hromadné kampane: pripravte prehľad odosielacích zdrojov