SPF ve DKIM tek başlarına ortak bir soruyu yanıtsız bırakır: kullanıcının gördüğü adres korunuyor mu? DMARC bu boşluğu kapatır ve üç şey ekler — hizalama şartı, ihlalde ne yapılacağı, ve ne olup bittiğini gösteren raporlar.
Hizalama: asıl katkı
DMARC’ın teknik özü tek bir kelimededir: hizalama.
SPF, zarftaki gönderen adresine bakar. DKIM, imzadaki alan adına bakar. Kullanıcı ise ikisini değil, iletide görünen gönderen adresini görür.
DMARC, görünen adresin alan adının SPF ya da DKIM ile doğrulanan alan adıyla aynı olmasını şart koşar. Aynı değilse, doğrulama teknik olarak geçmiş olsa bile DMARC başarısız sayılır.
Böylece saldırganın kendi alan adıyla geçerli doğrulama üretip sizin adresinizi göstermesi engellenir. SPF ve DKIM’in birlikte bile kapatamadığı boşluk budur; ayrıntıları SPF nedir ve DKIM nedir yazılarında.
Not: ikisinden birinin hizalı geçmesi yeterlidir. Bu, yönlendirme gibi SPF’i bozan durumlarda DKIM’in kurtarıcı olmasını sağlar.
Üç politika kipi
DNS kaydına yazılan politika, alıcıya ihlalde ne yapmasını istediğinizi söyler.
Hiçbir şey yapma. Postalar normal teslim edilir; yalnızca rapor gelir. Bu bir izleme kipidir, koruma sağlamaz.
Karantinaya al. Başarısız postalar spam klasörüne düşer.
Reddet. Başarısız postalar hiç teslim edilmez.
Kurulumların büyük bölümü izleme kipinde takılı kalır. Bu, adres taklidine karşı hiçbir koruma sağlamaz — yalnızca durumu görünür kılar. Kayıt var diye korunduğunu sanmak, en yaygın yanılgıdır.
Raporlar ne söyler
DMARC’ın en değerli ama en az kullanılan parçası raporlardır. Alıcı sunucular, alan adınız adına gönderilen postalar hakkında düzenli özet gönderir.
Rapor üç şeyi ortaya çıkarır.
Bilmediğiniz gönderen kaynaklar. Neredeyse her kurumda vardır: yıllar önce kurulmuş bir fatura sistemi, bir pazarlama aracı, bir departmanın kendi başına aldığı bir hizmet.
Doğrulaması bozuk kaynaklar. Postaları gidiyor ama hizalama başarısız; politikayı sıkılaştırdığınız gün duracaklar.
Adınıza yapılan taklit denemeleri. Sizin hiç ilgisi olmayan sunuculardan, sizin alan adınızla gönderilen postalar.
Raporlar makine tarafından okunacak biçimde gelir; elle okumak pratik değildir. Ücretsiz ve ücretli çözümleyiciler bunu tabloya çevirir.
Geçiş sırası
Politikayı doğrudan reddetmeye çekmek, kurumsal postanın bir bölümünü aynı gün durdurur. Sıra şöyle olmalıdır.
Bir: İzleme kipinde kayıt yayımlayın ve raporları toplamaya başlayın. En az dört hafta bekleyin; aylık çalışan sistemler ancak bu sürede görünür.
İki: Raporda çıkan her meşru kaynağı SPF’e ekleyin ve DKIM imzalamasını açın. Bu adım en uzun sürenidir.
Üç: Karantinaya geçin — önce postaların küçük bir yüzdesine uygulanacak biçimde. DMARC, politikanın kademeli uygulanmasını destekler ve bu özellik neredeyse hiç kullanılmaz.
Dört: Yüzdeyi kademeli artırın, sonra reddetmeye geçin.
Aynı kademeli yayına alma disiplininin başka bir alandaki karşılığı koşullu erişimi rapor modundan yayına geçirmek yazısında.
Alt alan adlarını unutmayın
DMARC kaydı, alt alan adları için ayrı bir politika tanımlamanıza izin verir. Tanımlanmazsa ana politika devralınır — ama bu her zaman istenen davranış değildir.
Saldırganlar, ana alan adı korunduğunda alt alan adlarına yönelir. Kurumun hiç kullanmadığı bir alt alan adından gönderilen sahte fatura, alıcının gözünde ikna edicidir.
Bu yüzden alt alan adları için politika açıkça yazılır ve kullanılmayanlar için doğrudan reddetme seçilir.
Aynı ilke, kurumun sahip olduğu ama posta göndermeyen alan adları için de geçerlidir.
Yayına almadan önce
İki hazırlık, geçiş gününde yaşanan sorunların çoğunu önler.
Gönderen kaynak envanteri çıkarın. Raporlar bunu verecektir ama pazarlama, finans ve destek ekiplerine sormak süreci haftalarca kısaltır.
Bir sahiplik belirleyin. DMARC bir kereye mahsus iş değildir; yeni bir sistem devreye alındığında kaydın güncellenmesi gerekir. Sahibi olmayan kayıt, altı ay içinde eskir.
Bunun bir değişiklik yönetimi konusu olduğunu kabul etmek en sağlıklısıdır; çerçevesi değişiklik yönetimi yazısında.
Rapor adresini nereye vermeli
Kayıtta iki rapor adresi tanımlanabilir: günlük özet raporları ve tek tek başarısızlık bildirimleri.
İkincisi dikkatli kullanılmalıdır. Başarısızlık bildirimleri, başarısız olan iletinin bir bölümünü içerebilir — yani kurum dışına içerik gitmesi anlamına gelebilir. Çoğu kurulumda yalnızca özet raporları açılır.
Rapor adresi olarak gerçek bir posta kutusu vermek de pratik değildir: raporlar günde onlarca gelir ve makine tarafından okunacak biçimdedir. Doğru yol, bir çözümleme hizmetine yönlendirmek ya da ayrı bir kutuya toplayıp otomatik işlemektir.
Kısaca
DMARC, SPF ve DKIM’i kullanıcının gördüğü adrese bağlar; katkısı hizalama şartıdır.
İzleme kipinde bırakılan bir kayıt koruma sağlamaz. Değeri, raporları okuyup meşru kaynakları düzelttikten sonra reddetmeye geçmekle ortaya çıkar — ve bu geçişin bir tarihi olmalıdır.