Kontroler DMARC

Większość domen z rekordem DMARC ma ustawioną opcję nic nie robienia. Rekord istnieje, kwestionariusz zostaje zaznaczony i każdy nadal może wysyłać przekonujące wiadomości e-mail jako domena. Sprawdź domenę, którą kontrolujesz, i uzyskaj pełny zapis oraz obowiązujące w niej zasady.

Co robi DMARC, czego nie robią SPF i DKIM

SPF informuje, które serwery mogą wysyłać wiadomości w imieniu Twojej domeny. DKIM podpisuje wiadomość, aby odbiorca wiedział, że nie została zmieniona. Żaden z nich nie mówi, co zrobić, gdy kontrola się nie powiedzie – i większość jest pozostawiona samym sobieodbiorcy i tak dostarczają wiadomość.

DMARC to instrukcja. Jest to rekord TXT pod adresem _dmarc.yourdomain.com, który informuje serwer odbierający o trzech rzeczach: co zrobić z pocztą, która nie działa, gdzie wysyłać raporty na ten temat i jak ściśle dopasować domenę widzianą przez czytelnika do domeny, która została sprawdzona.

Sześć powodów, dla których warto sprawdzić własny DMARC

Zasada oznaczająca „zauważ to i nic nie rób”

Rekord DMARC ma jedno ustawienieliczy się bardziej niż wszystkie inne:

Polityka	Co odbiorca robi z nieudaną pocztą
`p=none`	Dostarcza. Wysyła raport i nic więcej
`p=quarantine`	Umieszcza to w spamie
`p=reject`	Odmawia wprost

p=none to właściwe miejsce na początek i złe miejsce na pobyt. Istnieje, więc możesz oglądać przez kilka tygodni i znaleźć legalnych nadawców, o których zapomniałeś, zanim włączysz wymuszanie.

Bardzo wiele domen od lat znajduje się na p=none, ponieważ nic nigdy nie wymusiło kolejnego kroku irekord wygląda na obecny na każdej liście kontrolnej, która zawiera jedynie pytanie, czy istnieje DMARC.

Dlaczego nie możesz po prostu przejść do reject

Ponieważ zatrzyma to twoją własną pocztę.

Każda organizacja wysyła z większej liczby miejsc, niż pamięta: system biletowy, narzędzie do fakturowania, platforma biuletynowa, serwer wysyłający powiadomienia, formularz na stronie zbudowanej trzy lata temu. W p=reject każdy nieautoryzowany przestaje być dostarczany - iludzie, którzy pierwsi zauważą, to Twoi klienci.

Trzy etapy istnieją po to, żeby je przejść, a nie wybrać. Zacznij od none, przeczytaj, co pokazują raporty, autoryzuj to, co jest uzasadnione, a następnie przejdź do quarantine, a następnie do reject.

Raporty, których nikt nie czyta

Rekord DMARC może zawierać dwa adresy raportów:

rua - raporty zbiorcze. Codzienne podsumowania XML od dostawców odbierających: ile poczty rzekomo pochodzi od Ciebie, ile przeszło i skąd

-ruf - raporty o awariach. Szczegóły poszczególnych wiadomości, wysyłane przez znacznie mniejszą liczbę dostawców i mogą zawierać fragmenty prawdziwych wiadomości

Zbiorcze raporty stanowią istotę p=none i są nieczytelne dla człowieka - przychodzą jako skompresowany plik XML od kilkudziesięciu dostawców. Bez czegoś, co mogłoby je zebrać i zaprezentować, etap, z którego masz się uczyć, niczego Cię nie nauczy, a domena pozostanie na zawsze na poziomie none.

Rekord bez adresu rua to rekord, który nie może spełnić swojego zadania.

Wyrównanie i dlaczego poczta może przejść SPF, a mimo to nie przejść DMARC

To jest część, która zaskakuje ludzi, którzy myśleli, że to już koniec.

SPF sprawdza nadawcę koperty – adres użyty w rozmowie doręczającej. Czytelnik nigdy tego nie widzi. Czytelnik widzi nagłówek From:, a DMARC istnieje, aby go chronić.

Zatem DMARC wymaga nie tylko tego SPF czy DKIMzostał przekazany, ale domena, którą przekazał, pasuje do domeny w nagłówku From:. Platforma pocztowa, która wysyła wiadomości w Twoim imieniu, korzystając z własnej domeny kopertowej, przekaże SPF dla siebie, a dla Ciebie nie powiedzie się DMARC, chyba że została skonfigurowana do dopasowania.

Ustawienia aspf i adkim rekordu kontrolują, jak ścisłe jest to dopasowanie - r dla zrelaksowanego, co pozwala na subdomeny, s dla ścisłego, co nie.

Poddomena nikt nie ustalił politykiza

Rekord DMARC może zawierać oddzielną politykę dla subdomen, sp. Jeśli go nie ma, subdomeny dziedziczą główną politykę - a zazwyczaj jest to, czego chcesz.

Błędem jest rekord, który ustawia p=reject i sp=none, często podczas ostrożnego wdrażania, a następnie tak pozostaje. Domena główna jest chroniona, a każda subdomena jest szeroko otwarta, czyli tam, dokąd trafi atakujący.

Dowód dla osób, które teraz pytają po imieniu

Ubezpieczycielea klienci korporacyjni coraz częściej pytają konkretnie o DMARC, a niektórzy pytają o wartość polisy, a nie o „tak”. Datowany raport pokazujący rekord i datę jego zmiany jest lepszą odpowiedzią niż zrzut ekranu panelu DNS i stanowi dowód, który możesz zachować.

Poznaj dzień, w którym zmieni się Twoja polisa

Politykę DMARC można osłabić w jednej edycji przez jedną osobę z jednego ważnego powodu - partia prawidłowej poczty została odrzucona i najszybszym rozwiązaniem było powrót do none. Ma to charakter tymczasowy. Rzadko tak jest.

Zaplanowane skanowania sprawiają, że jest to różnica, o której jesteś informowany: ta zasada została zmieniona z quarantine na none, ten rekord uległ zmianie. Alerty docierają do aplikacji, e-mailem, poprzez Slack, Teams, Jira lub webhook.

Krok 01 · Nazwijdomena

Domena, którą kontrolujesz, dodana do Twojego konta AYAsec. Własność jest sprawdzana przed wysłaniem czegokolwiek - AYAsec nie zaplanuje skanowania infrastruktury, nad którą nie wykazałeś kontroli, ani udowadniania, że wymaga to jednego rekordu DNS. Powyższe szybkie sprawdzenie pomija to: brak konta, brak weryfikacji, tylko ograniczenie szybkości IP i zasada, że celem musi być publicznyadres.

Krok 02 · Pozwól, aby kontrola została uruchomiona

Rekordy DMARC są publiczne, więc to raczej odczytuje niż sonduje. Wyszukuje _dmarc w Twojej domenie w taki sam sposób, w jaki zrobiłby to odbierający serwer pocztowy.

Krok 03 · Przeczytaj wynik

Wyniki napływają w kolejności według ważności i punktacji od A+ do F. Brakujący rekord i zasada mówiąca, że tylko zegarki nie znajdują się na tej samej niezróżnicowanej liście.

Czego to jest częścią

DMARC jest jednym z kilku rekordów związanych z pocztą, które sprawdza AYAsecw ramach skanowania DNS wraz z SPF, DKIM, MTA-STS, TLS-RPT i DNSSEC. To jeden skan, a ta strona dotyczy tylko jednej części tego, co przegląda. DNS przenosi 20% oceny złożonej. Pozostałe to HTTP na poziomie 30%, TLS i porty na poziomie 20% każdy oraz wiarygodność domeny na poziomie 10%. To wszystko razem oznacza w praktyce zarządzanie powierzchnią ataku.

Pytania przed sprawdzeniem

Co mogę sprawdzić?

Infrastruktura, którą posiadasz lub którą masz zleconą do testowania. Powyższe szybkie sprawdzenie niesprawdź to dla siebie - ogranicza tylko stawki według adresu IP i odmawia kierowania na cokolwiek innego niż adres publiczny. Zamiast tego dodaj domenę do konta AYAsec, a kontrola zostanie zweryfikowana przed uruchomieniem czegokolwiek zaplanowanego: granica prawna, a nie praktyczna, ponieważ niezweryfikowany skan również nie będzie dla Ciebie przydatny jako dowód.

Nie wysyłamy e-maili z tej domeny. Czy potrzebujemy DMARC?

Tak, a zapewne nawet więcej. Domena, która nic nie wysyła, powinna to powiedziećwyraźnie - rekord SPF nieautoryzujący nikogo i polityka DMARC reject. Zaparkowaną domenę bez żadnych rekordów najłatwiej jest podszyć się pod osobę, ponieważ nikt nie ogląda odpowiedzi.

Jak długo powinniśmy pozostać w p=none?

Wystarczająco długo, aby zobaczyć pełny cykl własnej wysyłki, co dla większości organizacji oznacza kilka tygodni – zarówno fakturowanie miesięczne, jak i kampanie kwartalne muszą pojawić się w raportach, zanim zaczniesz je egzekwować.Pozostanie dłużej niż kwartał zwykle oznacza, że nikt nie czyta raportów.

Czy przejście na reject coś zepsuje?

Zniszczy wszystko, co wysyła bez autoryzacji, i o to właśnie chodzi – ale ten zestaw zawiera twoje własne, zapomniane narzędzia, dopóki ich nie znajdziesz. Temu właśnie służą wcześniejsze etapy.

Czy DMARC potrzebuje zarówno SPF, jak i DKIM, aby przejść pomyślnie?

Nie. Wystarczy jedno z dwóch mijania i wyrównywania. W praktyce DKIM jest trwalszy z tych dwóch, ponieważ wytrzymuje przesyłanie, a SPF często nie.

Czy przechowujesz wyniki?

To nie jest szybkie sprawdzenie powyżej – plik żyje w pamięci przez około piętnaście minut, więc możesz go przeczytać raz, a potem już go nie ma. Jest to celowy wybór dotyczący prywatności, a nie ograniczenie: nikt oprócz Ciebie nigdy nie widzi tego skanu i możesz pobrać pełny wynik przed jego wygaśnięciem. Dodaćzamiast tego domenę na konto AYAsec i każdy skan jest zachowywany – jest to seria informująca, kiedy polityka została osłabiona i o ile. Przechowywanie zależy od Twojego planu.

Zachowaj historię, a nie tylko wynik

Przeprowadź pełną kontrolę DNS we własnych domenach, zgodnie z harmonogramem, z komunikatem w przypadku cofnięcia się zasad.

Rozpocznij skanowanie za darmo Porównaj plany

Pozostałe warcaby

View all free security scanners

Uporządkowane dane do osadzenia

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec DMARC Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/dmarc-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

Nie dodawaj znaczników FAQPage ani HowTo – Google wycofał oba typy wyników.