Stanowiska

Uwierzytelnianie poczty elektronicznej jest kluczowym aspektem pracy dostawcy poczty elektronicznej. Uwierzytelnianie emaili znane również jako SPF i DKIM sprawdza tożsamość dostawcy emaili. DMARC dodaje do procesu weryfikacji emaili sprawdzając czy email został wysłany z legalnej domeny poprzez wyrównanie i określając serwerom odbiorczym jak reagować na wiadomości, które nie przejdą kontroli uwierzytelniania. Dzisiaj zamierzamy omówić różne scenariusze, które odpowiedzą na pytanie dlaczego DMARC zawodzi.

DMARC jest kluczowym elementem polityki uwierzytelniania poczty elektronicznej, który pomaga zapobiegać przechodzeniu sfałszowanych wiadomości "spoofed" przez filtry antyspamowe. Jest to jednak tylko jeden z filarów całego programu antyspamowego i nie wszystkie raporty DM ARC są sobie równe. Niektóre z nich podają dokładne działania, jakie odbiorcy poczty podjęli w stosunku do każdej wiadomości, a inne mówią tylko o tym, czy wiadomość zakończyła się sukcesem, czy nie. Zrozumienie dlaczego wiadomość się nie powiodła jest równie ważne jak to czy się powiodła. Poniższy artykuł wyjaśnia powody, dla których wiadomości nie przechodzą kontroli uwierzytelniania DMARC. Są to najczęstsze powody (niektóre z nich można łatwo naprawić), dla których wiadomości mogą nie przejść kontroli uwierzytelniania DMARC.

Najczęstsze powody, dla których wiadomości mogą nie przejść przez DMARC

Zidentyfikowanie dlaczego DMARC zawodzi może być skomplikowane. Jednak przejdę przez kilka typowych powodów, czynników, które przyczyniają się do nich, tak abyś jako właściciel domeny mógł pracować nad usunięciem problemu szybciej.

Błędy w dostosowaniu DMARC

DMARC wykorzystuje wyrównanie domen w celu uwierzytelnienia Twoich emaili. Oznacza to, że DMARC weryfikuje czy domena wymieniona w adresie From (w widocznym nagłówku) jest autentyczna poprzez dopasowanie jej do domeny wymienionej w ukrytym nagłówku Return-path (dla SPF) i nagłówku sygnatury DKIM (dla DKIM). Jeśli którakolwiek z nich pasuje, email przechodzi DMARC, w przeciwnym razie DMARC nie przejdzie.

Stąd, jeśli Twoje emaile nie spełniają wymogów DMARC, może to być przypadek błędnego dopasowania domeny. Oznacza to, że ani SPF ani DKIM nie są zgodne i email wydaje się być wysłany z nieautoryzowanego źródła. Jest to jednak tylko jeden z powodów, dla których DMARC zawodzi.

DMARC Alignment Mode 

Twój tryb wyrównania protokołu również odgrywa ogromną rolę w przechodzeniu lub nie przechodzeniu wiadomości DMARC. Możesz wybrać jeden z następujących trybów wyrównania dla uwierzytelniania SPF:

  • Relaxed: Oznacza to, że jeśli domena w nagłówku Return-path i domena w nagłówku From jest po prostu zgodna organizacyjnie, nawet wtedy SPF przejdzie.
  • Strict: Oznacza to, że tylko wtedy, gdy domena w nagłówku Return-path i domena w nagłówku From są dokładnie zgodne, tylko wtedy SPF przejdzie.

Możesz wybrać jeden z następujących trybów wyrównania dla uwierzytelniania DKIM:

  • Zrelaksowany: To oznacza, że jeśli domena w podpisie DKIM i domena w nagłówku From jest po prostu organizacyjnym dopasowaniem, nawet wtedy DKIM przejdzie.
  • Strict: Oznacza to, że tylko wtedy, gdy domena w podpisie DKIM i domena w nagłówku From jest dokładnym dopasowaniem, tylko wtedy DKIM przejdzie.

Zauważ, że aby emaile przeszły uwierzytelnienie DMARC, albo SPF albo DKIM muszą być zgodne.  

Nie skonfigurowanie sygnatury DKIM 

Bardzo częstym przypadkiem, w którym Twój DMARC może zawieść jest to, że nie określiłeś podpisu DKIM dla swojej domeny. W takich przypadkach, Twój dostawca usług wymiany emaili przypisuje domyślny podpis DKIM do Twoich wychodzących emaili, który nie jest zgodny z domeną w Twoim nagłówku From. Odbierający MTA nie zdoła wyrównać obu domen, a co za tym idzie, DKIM i DMARC nie zadziałają dla Twojej wiadomości (jeśli Twoje wiadomości są wyrównane zarówno względem SPF jak i DKIM).

Nie dodajesz źródeł wysyłania do swojego DNS 

Ważne jest, aby pamiętać, że kiedy skonfigurujesz DMARC dla swojej domeny, odbierające MTA wykonują zapytania DNS w celu autoryzacji Twoich źródeł wysyłających. Oznacza to, że jeśli nie masz wszystkich autoryzowanych źródeł wysyłania wymienionych w DNS Twojej domeny, Twoje emaile nie przejdą DMARC dla tych źródeł, które nie są wymienione, ponieważ odbiorca nie będzie w stanie znaleźć ich w DNS. W związku z tym, aby upewnić się, że twoje legalne emaile są zawsze dostarczane, upewnij się, że wpisy wszystkich autoryzowanych dostawców emaili, którzy są upoważnieni do wysyłania emaili w imieniu twojej domeny, znajdują się w twoim DNS.

W przypadku przekazywania wiadomości e-mail

Podczas przekazywania email i email przechodzi przez serwer pośredniczący zanim zostanie ostatecznie dostarczony do serwera odbierającego. Podczas przekazywania emaili sprawdzanie SPF kończy się niepowodzeniem, ponieważ adres IP serwera pośredniczącego nie zgadza się z adresem serwera wysyłającego, a ten nowy adres IP zazwyczaj nie jest zawarty w rekordzie SPF serwera oryginalnego. Z drugiej strony, przekazywanie wiadomości e-mail zazwyczaj nie ma wpływu na uwierzytelnianie poczty elektronicznej DKIM, chyba że serwer pośredniczący lub podmiot przekazujący dokona pewnych zmian w treści wiadomości.

Jak wiemy, SPF nieuchronnie zawodzi podczas przekazywania wiadomości, jeśli w przypadku, gdy źródło wysyłające jest neutralne w stosunku do DKIM i polega wyłącznie na SPF w celu walidacji, przekazana wiadomość e-mail zostanie uznana za nieautentyczną podczas uwierzytelniania DMARC. Aby rozwiązać ten problem, powinieneś natychmiast zdecydować się na pełną zgodność z DMARC w swojej organizacji poprzez wyrównanie i uwierzytelnienie wszystkich wychodzących wiadomości zarówno względem SPF jak i DKIM, ponieważ aby email przeszedł uwierzytelnienie DMARC, email będzie musiał przejść albo uwierzytelnienie SPF albo DKIM i wyrównanie.

Twoja domena jest sfałszowana

Jeśli masz swoje protokoły DMARC, SPF i DKIM poprawnie skonfigurowane dla swojej domeny, z zasadami w egzekwowaniu i ważnymi rekordami wolnymi od błędów, a problem nie jest jednym z powyższych przypadków, to najbardziej prawdopodobnym powodem, dla którego Twoje e-maile nie spełniają wymogów DMARC jest to, że Twoja domena jest spoofowana lub sfałszowana. Dzieje się tak, gdy osoby podszywające się pod Twoją domenę i stwarzające zagrożenie próbują wysyłać e-maile, które wydają się pochodzić z Twojej domeny, używając złośliwego adresu IP.

Ostatnie statystyki dotyczące oszustw email owych wykazały, że przypadki spoofingu emaili rosną w ostatnim czasie i są bardzo dużym zagrożeniem dla reputacji Twojej organizacji. W takich przypadkach, jeśli masz DMARC zaimplementowany na polityce odrzucania, nie powiedzie się i spoofowany email nie zostanie dostarczony do skrzynki odbiorcy. Dlatego też spoofing domeny może być odpowiedzią na pytanie dlaczego DMARC zawodzi w większości przypadków.

Zalecamy zarejestrowanie się w naszym darmowym DMARC Analyzer i rozpoczęcie swojej podróży z raportowaniem i monitorowaniem DMARC.

  • Dzięki braku polityki możesz monitorować swoją domenę za pomocą zbiorczych raportów DMARC (RUA) i mieć oko na swoje przychodzące i wychodzące e-maile, co pomoże Ci reagować na wszelkie niepożądane problemy z dostawą.
  • Następnie pomożemy Ci przejść na politykę egzekwowania, która ostatecznie pomoże Ci uzyskać odporność na ataki typu domain spoofing i phishing.
  • Dzięki naszemu mechanizmowi Threat Intelligence można zdjąć złośliwe adresy IP i zgłosić je bezpośrednio z platformy PowerDMARC, aby uniknąć przyszłych ataków podszywania się.
  • Raporty PowerDMARC DMARC (RUF) Forensic pomagają uzyskać szczegółowe informacje o przypadkach, w których wiadomości e-mail nie spełniają wymogów DMARC, dzięki czemu można dotrzeć do źródła problemu i go rozwiązać.

Zapobiegaj spoofingowi domen i monitoruj przepływ e-maili z PowerDMARC, już dziś!

Kiedy email jest wysyłany z serwera wysyłającego, bezpośrednio do serwera odbierającego, SPF i DKIM (jeśli są poprawnie skonfigurowane) normalnie uwierzytelniają email i zazwyczaj skutecznie walidują go jako legalny lub nieautoryzowany. Jednakże, nie jest tak w przypadku, gdy email przechodzi przez pośredniczący serwer pocztowy zanim zostanie dostarczony do odbiorcy, tak jak w przypadku wiadomości przekazywanych dalej. Ten blog ma na celu przedstawienie wpływu przekierowania wiadomości e-mail na wyniki uwierzytelniania DMARC.

Jak już wiemy, DMARC wykorzystuje dwa standardowe protokoły uwierzytelniania emaili, mianowicie SPF (Sender Policy Framework) oraz DKIM (DomainKeys Identified Mail), do walidacji przychodzących wiadomości. Omówmy je w skrócie, aby lepiej zrozumieć, jak działają, zanim przejdziemy do tego, jak przekazywanie może na nie wpłynąć.

Ramy polityki nadawcy

SPF jest obecny w Twoim DNS jako rekord TXT, wyświetlający wszystkie ważne źródła, które są upoważnione do wysyłania emaili z Twojej domeny. Każdy email, który opuszcza Twoją domenę ma adres IP, który identyfikuje Twój serwer i dostawcę usług email używanych przez Twoją domenę, który jest zapisany w Twoim DNS jako rekord SPF. Serwer pocztowy odbiorcy sprawdza poprawność emaila względem Twojego rekordu SPF, aby go uwierzytelnić i odpowiednio oznacza email jako SPF pass lub fail.

DomainKeys Identified Mail

DKIM jest standardowym protokołem uwierzytelniania emaili, który przypisuje podpis kryptograficzny, utworzony przy użyciu klucza prywatnego, do walidacji emaili w serwerze odbiorczym, gdzie odbiorca może pobrać klucz publiczny z DNS nadawcy w celu uwierzytelnienia wiadomości. Podobnie jak SPF, klucz publiczny DKIM również istnieje jako rekord TXT w DNS właściciela domeny.

Wpływ przekazywania wiadomości e-mail na wyniki uwierzytelniania DMARC

Podczas przekazywania emaili, email przechodzi przez serwer pośredniczący zanim zostanie ostatecznie dostarczony do serwera odbierającego. Po pierwsze ważne jest, aby zdać sobie sprawę, że przekazywanie emaili może odbywać się na dwa sposoby - albo emaile mogą być przekazywane ręcznie, co nie ma wpływu na wyniki uwierzytelniania, albo mogą być przekazywane automatycznie, w którym to przypadku procedura uwierzytelniania ucierpi, jeśli domena nie posiada rekordu pośredniczącego źródła wysyłającego w swoim SPF.

Oczywiście, zazwyczaj podczas przekazywania emaili sprawdzanie SPF kończy się niepowodzeniem, ponieważ adres IP serwera pośredniczącego nie zgadza się z adresem serwera wysyłającego, a ten nowy adres IP zazwyczaj nie jest uwzględniony w rekordzie SPF serwera oryginalnego. Z drugiej strony, przekazywanie emaili zazwyczaj nie ma wpływu na uwierzytelnianie emaili DKIM, chyba że serwer pośredniczący lub podmiot przekazujący dokona pewnych zmian w treści wiadomości.

Zauważ, że aby email przeszedł uwierzytelnienie DMARC, email będzie musiał przejść albo uwierzytelnienie SPF albo DKIM i wyrównanie. Ponieważ wiemy, że SPF nieuchronnie zawodzi podczas przekazywania emaili, jeśli w przypadku, gdy źródło wysyłające jest neutralne w stosunku do DKIM i polega wyłącznie na SPF w celu walidacji, przekazany email zostanie uznany za nieautentyczny podczas uwierzytelniania DMARC.

Rozwiązanie? Proste. Powinieneś natychmiast zdecydować się na pełną zgodność z DMARC w swojej organizacji poprzez dostosowanie i uwierzytelnienie wszystkich przychodzących wiadomości zarówno w stosunku do SPF jak i DKIM!

Osiąganie zgodności z DMARC za pomocą PowerDMARC

Ważne jest, aby zauważyć, że w celu osiągnięcia zgodności z DMARC, emaile muszą być uwierzytelnione albo SPF albo DKIM lub obydwoma. Jednakże, jeśli przekazywane wiadomości nie zostaną zweryfikowane względem DKIM i nie będą opierać się tylko na SPF w celu uwierzytelnienia, DMARC nieuchronnie zawiedzie, jak to zostało omówione w poprzedniej sekcji. Dlatego PowerDMARC pomaga osiągnąć pełną zgodność z DMARC poprzez efektywne dopasowywanie i uwierzytelnianie wiadomości e-mail w oparciu o oba protokoły uwierzytelniania SPF i DKIM. W ten sposób, nawet jeśli autentyczna wiadomość przekazana dalej nie przejdzie SPF, podpis DKIM może być użyty do jej walidacji jako legalnej i email przechodzi uwierzytelnienie DMARC, lądując następnie w skrzynce odbiorczej odbiorcy.

Wyjątkowe przypadki: Błąd DKIM i jak go rozwiązać?

W niektórych przypadkach, podmiot przekazujący może zmienić treść wiadomości poprzez wprowadzenie poprawek w granicach MIME, wdrożenie programów antywirusowych lub ponowne zakodowanie wiadomości. W takich przypadkach zarówno uwierzytelnianie SPF jak i DKIM zawodzi, a legalne e-maile nie zostają dostarczone.

W przypadku, gdy zarówno SPF jak i DKIM zawiodą, PowerDMARC jest w stanie zidentyfikować i wyświetlić to w naszym szczegółowym widoku zbiorczym, a protokoły takie jak Authenticated Received Chain mogą być wykorzystywane przez serwery pocztowe do uwierzytelniania takich emaili. W ARC, nagłówek Authentication-Results może być przekazany do następnego 'hopu' w linii dostarczania wiadomości, aby skutecznie złagodzić problemy z uwierzytelnianiem podczas przekazywania emaili.

W przypadku przekazanej wiadomości, gdy serwer poczty elektronicznej odbiorcy otrzymuje wiadomość, która nie przeszła uwierzytelnienia DMARC, próbuje zatwierdzić wiadomość e-mail po raz drugi, w odniesieniu do dostarczonego Uwierzytelnionego Łańcucha Odbioru dla wiadomości e-mail poprzez wyodrębnienie ARC Authentication-Results z początkowego skoku, aby sprawdzić, czy została ona zatwierdzona jako zgodna z prawem, zanim serwer pośredniczący przekazał ją do serwera odbierającego.

Zarejestruj się więc w PowerDMARC już dziś i osiągnij zgodność z DMARC w swojej organizacji!