مدقق DMARC

معظم النطاقات التي تحتوي على سجل DMARC تم ضبطها على عدم القيام بأي شيء. السجل موجود، ويتم وضع علامة على الاستبيان، ولا يزال بإمكان أي شخص إرسال بريد إلكتروني مقنع باعتباره المجال. تحقق من المجال الذي تتحكم فيه واحصل على السجل بالكامل والسياسة التي يحددها بالفعل.

ما يفعله DMARC ولا يفعله SPF وDKIM

يوضح نظام التعرف على هوية المرسل (SPF) الخوادم التي قد ترسلها لنطاقك. يقوم DKIM بتوقيع رسالة حتى يتمكن المستلم من معرفة أنه لم يتم تغييرها. لم يقل أي منهما ما يجب فعله عند فشل الشيك - وترك الأمر لنفسه، على الأغلبيقوم المستلمون بتسليم الرسالة على أي حال.

DMARC هو التعليمات. إنه سجل TXT في _dmarc.yourdomain.com يخبر خادم الاستقبال بثلاثة أشياء: ما يجب فعله بالبريد الذي فشل، ومكان إرسال التقارير عنه، ومدى دقة مطابقة النطاق الذي يراه القارئ مع النطاق الذي تم فحصه.

ستة أسباب للتحقق من DMARC الخاص بك

السياسة التي تعني "لاحظ هذا ولا تفعل شيئًا"

يحتوي سجل DMARC على إعداد واحدأهم من كل الآخرين:

سياسة	ماذا يفعل المتلقي بالبريد الفاشل
`p=none`	يوصله. يرسل لك تقرير ولا شيء غيره
`p=quarantine`	يضعه في البريد المزعج
`p=reject`	يرفضها جملة وتفصيلا

p=none هو المكان الصحيح للبدء والمكان الخطأ للبقاء. إنه موجود حتى تتمكن من المراقبة لبضعة أسابيع والعثور على المرسلين الشرعيين الذين نسيت أمرهم، قبل تشغيل التنفيذ.

يوجد عدد كبير جدًا من النطاقات في p=none منذ سنوات، لأنه لم يكن هناك شيء يفرض الخطوة التالية على الإطلاقيبدو السجل موجودًا في أي قائمة تحقق تسأل فقط عما إذا كان DMARC موجودًا أم لا.

لماذا لا يمكنك ببساطة الانتقال إلى reject

لأنه سيوقف البريد الخاص بك.

ترسل كل مؤسسة من أماكن أكثر مما تتذكر: نظام التذاكر، وأداة الفواتير، ومنصة الرسائل الإخبارية، والخادم الذي يرسل التنبيهات، ونموذج على موقع تم إنشاؤه قبل ثلاث سنوات. في p=reject، يتوقف تسليم كل العناصر غير المصرح لها - والأشخاص الذين يلاحظون أولاً هم عملاؤك.

المراحل الثلاث موجودة لكي نسير عليها، وليس لنختارها. ابدأ من none، واقرأ ما تظهره التقارير، ورخص ما هو شرعي، ثم انتقل إلى quarantine، ثم إلى reject.

التقارير التي لا يقرأها أحد

يمكن لسجل DMARC تسمية عنوانين للتقرير:

rua - تقارير مجمعة. ملخصات XML اليومية من مقدمي الخدمة المستلمين: مقدار البريد الذي يُدعى أنه منك، وكم تم تمريره، ومن أين

-ruf - تقارير الفشل. تفاصيل لكل رسالة، يتم إرسالها بواسطة عدد أقل بكثير من مقدمي الخدمة، ويمكن أن تحتوي على أجزاء من الرسائل الحقيقية

التقارير المجمعة هي الهدف الأساسي لـ p=none وهي غير قابلة للقراءة من قبل أي شخص - فهي تصل في شكل XML مضغوط من العشرات من مقدمي الخدمة. بدون شيء لجمعها وتقديمها، فإن المرحلة التي من المفترض أن تتعلم منها لا تعلمك شيئًا، ويبقى النطاق في none إلى الأبد.

السجل الذي لا يحتوي على عنوان rua هو سجل لا يمكنه القيام بمهمته.

المحاذاة، ولماذا يمكن للبريد اجتياز نظام التعرف على هوية المرسل (SPF) مع استمرار فشل DMARC

هذا هو الجزء الذي يفاجئ الأشخاص الذين ظنوا أنهم قد انتهوا.

يتحقق نظام التعرف على هوية المرسل (SPF) من مرسل المغلف - العنوان المستخدم في محادثة التسليم. القارئ لا يراه أبدًا. ما يراه القارئ هو رأس From:، وDMARC موجود لحماية هذا الرأس.

لذا فإن DMARC لا يتطلب نظام SPF أو DKIM فقطتم تمريره، ولكن المجال الذي تم تمريره إليه يتطابق مع النطاق الموجود في رأس From: . نظام البريد الأساسي الذي يرسل نيابةً عنك باستخدام نطاق المغلف الخاص به سوف يمرر نظام التعرف على هوية المرسل (SPF) لنفسه ويفشل DMARC لك، ما لم تتم تهيئته للمحاذاة.

تتحكم إعدادات aspf وadkim للسجل في مدى دقة تلك المطابقة - r للاسترخاء، مما يسمح بالنطاقات الفرعية، s للنطاقات الصارمة، وهو ما لا يسمح بذلك.

النطاق الفرعي لا أحد يضع سياسةل

يمكن أن يحمل سجل DMARC سياسة منفصلة للنطاقات الفرعية، sp. إذا كانت غائبة، فإن النطاقات الفرعية ترث السياسة الرئيسية - والتي عادة ما تكون ما تريده.

المكان الذي يحدث فيه الخطأ هو السجل الذي يحدد p=reject وsp=none، غالبًا أثناء الطرح الحذر ثم يغادر بهذه الطريقة. النطاق الرئيسي محمي وكل نطاق فرعي مفتوح على مصراعيه، وهو المكان الذي سيذهب إليه المهاجم.

دليل للأشخاص الذين يسألون الآن بالاسم

شركات التأمينويتساءل عملاء المؤسسات بشكل متزايد عن DMARC على وجه التحديد، ويسأل البعض عن قيمة السياسة بدلاً من الإجابة بنعم. يعد التقرير المؤرخ الذي يوضح السجل ومتى تم تغييره إجابة أفضل من لقطة شاشة للوحة DNS، وهو دليل يمكنك الاحتفاظ به.

اعرف اليوم الذي تتغير فيه سياستك

يمكن إضعاف سياسة DMARC في تعديل واحد، بواسطة شخص واحد، لسبب وجيه واحد - تم رفض مجموعة من البريد الشرعي وكان أسرع حل هو العودة إلى none. من المفترض أن تكون مؤقتة. نادرا ما يكون كذلك.

تحول عمليات الفحص المجدولة ذلك إلى اختلاف يتم إخبارك به: انتقلت هذه السياسة من quarantine إلى none، وتغير هذا السجل. تصل التنبيهات داخل التطبيق أو عبر البريد الإلكتروني أو عبر Slack أو Teams أو Jira أو خطاف الويب.

الخطوة 01 · قم بتسميةالمجال

النطاق الذي تتحكم فيه، تتم إضافته إلى حساب AYAsec الخاص بك. يتم التحقق من الملكية قبل إرسال أي شيء - لن تقوم AYAsec بجدولة عمليات فحص للبنية التحتية التي لم تثبت سيطرتك عليها، ويتطلب إثبات ذلك سجل DNS واحدًا. يتخطى الفحص السريع أعلاه هذا: لا يوجد حساب، لا تحقق، فقط تحديد معدل IP وقاعدة مفادها أن الهدف يجب أن يكون عامًاعنوان.

الخطوة 02 · دع عملية الفحص تعمل

سجلات DMARC عامة، لذلك تتم القراءة بدلاً من الاستقصاء. فهو يبحث عن _dmarc في نطاقك بالطريقة التي يفعلها خادم استلام البريد.

الخطوة 03 · اقرأ النتيجة

تصل النتائج مرتبة حسب الخطورة ويتم تسجيلها من A+ إلى F. سجل مفقود وسياسة تقضي بعدم وضع الساعات فقط في نفس القائمة غير المتمايزة.

ما هذا جزء منه

يعد DMARC أحد السجلات العديدة المتعلقة بالبريد التي تقوم AYAsec بفحصهاكجزء من فحص نظام أسماء النطاقات (DNS)، إلى جانب SPF، وDKIM، وMTA-STS، وTLS-RPT، وDNSSEC. إنه مسح واحد، وهذه الصفحة تدور حول جزء واحد مما تبحث عنه. يحمل DNS 20% من الدرجة المركبة. أما الملفات الأخرى فهي HTTP بنسبة 30%، وTLS والمنافذ بنسبة 20% لكل منهما، ومصداقية النطاق بنسبة 10%. كلهم معًا يمثلون ما تعنيه إدارة سطح الهجوم عمليًا.

أسئلة قبل التحقق

ما الذي يمكنني التحقق منه؟

البنية التحتية التي تمتلكها أو تم التعاقد معها لاختبارها. الفحص السريع أعلاه لا يفعل ذلكتحقق من ذلك نيابةً عنك - فهو يحدد الأسعار فقط عن طريق IP ويرفض استهداف أي شيء سوى العنوان العام. أضف النطاق إلى حساب AYAsec بدلاً من ذلك، وسيتم التحقق من التحكم قبل تشغيل أي شيء مجدول: حدود قانونية بقدر ما هي حدود عملية، نظرًا لأن الفحص الذي لم يتم التحقق منه لا يفيدك كدليل أيضًا.

نحن لا نرسل بريدًا إلكترونيًا من هذا المجال. هل نحتاج إلى DMARC؟

نعم، وربما أكثر. المجال الذي لا يرسل شيئًا يجب أن يقول ذلكصراحة - سجل نظام التعرف على هوية المرسل (SPF) الذي لا يسمح لأحد وسياسة DMARC الخاصة بـ reject. يعد المجال المتوقف بدون سجلات هو الأسهل على الإطلاق لانتحال الهوية، لأنه لا أحد يراقب الردود.

كم من الوقت يجب أن نبقى في p=none؟

طويلة بما يكفي لرؤية دورة كاملة من عمليات الإرسال الخاصة بك، وهو ما يعني بالنسبة لمعظم المؤسسات بضعة أسابيع - يجب أن تظهر الفواتير الشهرية والحملات ربع السنوية في التقارير قبل التنفيذ.عادةً ما يعني البقاء لفترة أطول من الربع أن لا أحد يقرأ التقارير.

هل سيؤدي الانتقال إلى reject إلى تغيير أي شيء؟

سوف يكسر أي شيء يتم إرساله إليك دون تصريح، وهذا هو بيت القصيد - ولكن هذه المجموعة تتضمن أدواتك المنسية حتى تجدها. هذا هو ما تهدف إليه المراحل السابقة.

هل يحتاج DMARC إلى كل من نظام التعرف على هوية المرسل (SPF) وDKIM للتمرير؟

لا، يكفي أحد التمريرين والمحاذاة. من الناحية العملية، يعد DKIM هو الأكثر متانة بين الاثنين، لأنه ينجو من إعادة التوجيه بينما لا يستمر نظام التعرف على هوية المرسل (SPF) في كثير من الأحيان.

هل تحتفظ بالنتائج؟

ليس الفحص السريع أعلاه - فهو يبقى في الذاكرة لمدة خمس عشرة دقيقة تقريبًا حتى تتمكن من قراءته مرة واحدة، ثم يختفي. يعد هذا اختيارًا متعمدًا للخصوصية، وليس قيدًا: لا أحد غيرك يرى هذا الفحص، ويمكنك تنزيل النتيجة الكاملة قبل انتهاء صلاحيتها. يضيفالمجال إلى حساب AYAsec بدلاً من ذلك، ويتم الاحتفاظ بكل عملية مسح - وهي سلسلة تخبرك متى تم إضعاف السياسة ومدى ضعفها. يعتمد الاحتفاظ على خطتك.

احتفظ بالتاريخ، وليس بالنتيجة فقط

قم بإجراء فحص DNS الكامل لنطاقاتك الخاصة، وفقًا لجدول زمني، مع ظهور رسالة عندما تتحرك السياسة إلى الوراء.

بدء المسح مجانًا مقارنة الخطط

لعبة الداما الأخرى

View all free security scanners

البيانات المنظمة المراد تضمينها

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec DMARC Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/dmarc-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

لا تضف ترميز FAQPage أو HowTo - فقد سحبت Google كلا النوعين من النتائج.