Co tak naprawdę mówią te rekordy
SPF publikuje, którzy hostowie są uprawnieni do wysyłania poczty dla domeny używanej w kopercie SMTP. DMARC informuje odbiorców, w jaki sposób właściciel domeny chce, aby wiadomości były obsługiwane, gdy ani zgodne SPF, ani zgodne DKIM nie przejdą weryfikacji. Polityka w DNS to instrukcja konfiguracji, a nie zapis tego, jak uwierzytelniono indywidualną wiadomość.
Sprawdź SPF w domenie nadawcy koperty i DMARC w _dmarc.domena. Wiadomość może przejść SPF dla innej domeny, jednocześnie nie przechodząc wyrównania DMARC z widocznym adresem Nadawcy. Zachowaj oryginalną wiadomość e-mail i nagłówki uwierzytelniania podczas badania konkretnej wiadomości.
Interpretacja polityki
Rekord SPF zaczyna się od v=spf1. Mechanizm ~all oznacza softfail; -all oznacza fail. Softfail nie oznacza, że polityka DMARC zawiodła. Rekordy DMARC zaczynają się od v=DMARC1, a p=none, p=quarantine lub p=reject określa żądaną politykę obsługi wiadomości, które nie przejdą weryfikacji DMARC.
Tag rua określa miejsca docelowe raportowania agregującego. Adresy te niekoniecznie należą do operatora domeny. DMARC dotyczy domeny wyświetlanej w polu Od; nie zapobiega każdej formie oszustwa z nazwą wyświetlaną ani nadużyciom związanym z domenami podobnymi (lookalike).
Lista kontrolna dla śledczego
Oddziel obecność rekordu, składnię i politykę od uwierzytelniania poszczególnych wiadomości. Same rekordy DNS nie mogą określić, czy nadawca jest prawowity.
- Zarejestruj dokładną nazwę zapytania, resolver, czas zbierania UTC i zwrócone wartości TXT.
- Zachowaj oryginalną wiadomość .eml; sprawdź zaufane nagłówki Authentication-Results.
- Porównaj widoczną domenę „Od” (From) z uwierzytelnioną domeną SPF/DKIM.
- Traktuj brakujące lub permisywne polityki jako wskaźniki kontekstowe, a nie jako wyrok o oszustwie.