Перевірка DMARC

Більшість доменів із записом DMARC налаштовано на бездіяльність. Запис існує, анкета отримує галочку, і будь-хто може надсилати переконливі електронні листи як домен. Перевірте домен, яким ви керуєте, і отримайте повний запис і політику, яку він фактично встановлює.

Швидка перевірка DMARC

Швидкий перегляд того, чи існує запис і що він вимагає від одержувачів. Увійдіть, щоб отримати повну перевірку DNS, заплановані запуски тазбережена історія.

Що робить DMARC, а SPF і DKIM ні

SPF повідомляє, які сервери можуть надсилати для вашого домену. DKIM підписує повідомлення, щоб одержувач міг зрозуміти, що воно не було змінено. Жоден із них не каже, що робити, якщо перевірка не вдасться - і більшість залишили самі собіодержувачі все одно доставляють повідомлення.

DMARC - це інструкція. Це запис TXT на _dmarc.yourdomain.com, який повідомляє серверу-одержувачу три речі: що робити з поштою, яка не вдається, куди надсилати звіти про це та наскільки чітко відповідати домену, який читач бачить, із перевіреним доменом.

Шість причин перевірити свій власний DMARC

01

Політика, що означає «зверніть увагу на це і нічого не робіть»

Запис DMARC має один параметр, якийважливіше за всі інші:

ПолітикаЩо робить одержувач із невдалою поштою
p=noneДоставляє. Надсилає вам звіт і більше нічого
p=quarantineПоміщає в спам
p=rejectКатегорично відмовляється

p=none – це правильне місце для початку та неправильне місце для зупинки. Він існує, щоб ви могли спостерігати кілька тижнів і знаходити законних відправників, про яких ви забули, перш ніж увімкнути примусове виконання.

Дуже багато доменів роками стояли на p=none, тому що ніщо ніколи не змушувало зробити наступний крок ізапис виглядає присутнім у будь-якому контрольному списку, який лише запитує, чи існує DMARC.

02

Чому ви не можете просто перейти до reject

Тому що це зупинить вашу власну пошту.

Кожна організація надсилає з більшої кількості місць, ніж вона пам’ятає: система квитків, інструмент виставлення рахунків, платформа для розсилки новин, сервер, який надсилає сповіщення, форма на сайті, створеному три роки тому. У p=reject усі неавторизовані припиняють доставку – ілюди, які першими помічають це, є вашими клієнтами.

Три етапи існують для того, щоб їх проходити, а не вибирати. Почніть з none, прочитайте, що показують звіти, авторизуйте те, що є законним, потім перейдіть до quarantine, потім до reject.

03

Звіти, які ніхто не читає

Запис DMARC може називати дві адреси звіту:

  • rua - зведені звіти. Щоденні XML-звіти від постачальників-одержувачів: скільки пошти нібито надійшло від вас, скільки передано та звідки

-ruf ​​- звіти про помилки. Деталі кожного повідомлення, надіслані значно меншою кількістю постачальників, і вони можуть містити частини справжніх повідомлень

Зведені звіти - суть p=none, і їх неможливо прочитати людині - вони надходять у вигляді стисненого XML від десятків постачальників. Без того, що можна зібрати та представити, етап, на якому ви маєте вчитися, нічого вас не вчить, а домен назавжди залишається на none.

Запис без адреси rua - це запис, який не може виконувати свою роботу.

04

Вирівнювання та чому пошта може пройти SPF і все одно не пройти DMARC

Це та частина, яка дивує людей, які думали, що вони закінчили.

SPF перевіряє відправника конверта – адресу, яка використовується в розмові про доставку. Читач ніколи цього не бачить. Читач бачить заголовок From:, і DMARC існує, щоб захистити його.

Отже, для DMARC потрібен не лише SPF або DKIMпройдено, але домен, який він передав, збігається з доменом у заголовку From:. Поштова платформа, яка надсилає від вашого імені за допомогою власного домену конверта, передаватиме SPF для себе та не виконає DMARC для вас, якщо її не налаштовано для вирівнювання.

Налаштування aspf і adkim запису контролюють, наскільки суворо виконується відповідність: r для розслабленого, що дозволяє субдомени, s для суворого, що ні.

05

Піддомен ніхто не встановлював політикудля

Запис DMARC може містити окрему політику для субдоменів, sp. Якщо вона відсутня, субдомени успадковують основну політику - зазвичай це те, що вам потрібно.

Там, де це йде не так, це запис, який встановлює p=reject і sp=none, часто під час обережного розгортання, а потім залишається таким. Основний домен захищений, а кожен субдомен широко відкритий, куди потрапляє зловмисник.

06

Докази для людей, які зараз запитують по імені

Страховикиі корпоративні клієнти все частіше запитують про DMARC, а деякі запитують значення політики, а не «так». Датований звіт, який показує запис і коли він змінився, є кращою відповіддю, ніж знімок екрана панелі DNS, і це докази, які ви можете зберегти.

Дізнайтесь, коли ваша політика зміниться

Політику DMARC можна послабити одним редагуванням, однією особою, з однієї вагомої причини – партія законної пошти відхилялася, і найшвидшим рішенням було повернутися до none. Це має бути тимчасовим. Так буває рідко.

Заплановані сканування перетворюють це на різницю, про яку вам повідомляють: цю політику змінено з quarantine на none, цей запис змінено. Сповіщення надходять у додаток, електронною поштою або через Slack, Teams, Jira чи веб-хук.

Крок 01 · Назвітьдомен

Домен, яким ви керуєте, доданий до вашого облікового запису AYAsec. Право власності перевіряється перед надсиланням – AYAsec не плануватиме сканування інфраструктури, над якою ви не продемонстрували контроль, і [для підтвердження цього потрібен один запис DNS] (https://docs.ayasec.ai/guides/verify-domain/cloudflare/). Швидка перевірка вище пропускає це: немає облікового запису, немає перевірки, лише обмеження швидкості IP-адреси та правило, згідно з яким мета має бути публічноюадресу.

Крок 02 · Запустіть перевірку

Записи DMARC є загальнодоступними, тому це читання, а не зондування. Він шукає _dmarc у вашому домені так, як це робив би сервер приймаючої пошти.

Крок 03 · Прочитайте результат

Висновки надходять упорядкованими за ступенем тяжкості та оціненими від A+ до F. Відсутній запис і політика, згідно з якою лише годинники не знаходяться в одному недиференційованому списку.

Що це є частиною

DMARC - це один із кількох записів, пов’язаних із поштою, які перевіряє AYAsecу рамках сканування DNS, а також SPF, DKIM, MTA-STS, TLS-RPT і DNSSEC. Це одне сканування, і ця сторінка є приблизно частиною того, що вона переглядає. DNS займає 20% загальної оцінки. Інші: HTTP на 30%, TLS і порти на 20% кожен, а довіра до домену на 10%. Усі вони разом - це те, що керування поверхнею атаки означає на практиці.

Запитання перед перевіркою

Що я можу перевірити?

Інфраструктура, якою ви володієте або ви замовили тестування. Швидка перевірка вище не робитьПереконайтеся, що для вас – він обмежує швидкість лише IP-адресою та відмовляється націлюватися на будь-що, окрім публічної адреси. Натомість додайте домен до облікового запису AYAsec, і контроль буде перевірено до того, як буде запущено будь-який запланований запуск: це юридичне обмеження, як і практичне, оскільки неперевірене сканування також не є для вас доказом.

Ми не надсилаємо електронні листи з цього домену. Чи потрібен нам DMARC?

Так, і, можливо, більше. Домен, який нічого не надсилає, повинен це сказатиявно – запис SPF, що нікого не авторизує, і політика DMARC reject. Припаркований домен без записів найлегше видати за себе, оскільки ніхто не дивиться відповіді.

Як довго ми повинні залишатися в p=none?

Досить довго, щоб побачити повний цикл власного надсилання, що для більшості організацій означає кілька тижнів – щомісячне виставлення рахунків і квартальні кампанії повинні відображатися у звітах, перш ніж ви примусово введете в дію.Залишення довше кварталу зазвичай означає, що ніхто не читає звіти.

Чи вплине перехід на reject?

Це зламає все, що надсилається від вашого імені без авторизації, у чому полягає суть, але цей набір включає ваші власні забуті інструменти, доки ви їх не знайдете. Для цього і потрібні попередні етапи.

Чи для проходження DMARC потрібні SPF і DKIM?

Ні, достатньо одного з двох проходів і вирівнювання. На практиці DKIM є довговічнішим із двох, оскільки він витримує пересилання, а SPF часто ні.

Ви зберігаєте результати?

Не швидка перевірка вище - він живе в пам'яті приблизно п'ятнадцять хвилин, тому ви можете прочитати його один раз, а потім він зникає. Це свідомий вибір конфіденційності, а не обмеження: ніхто, крім вас, ніколи не бачить це сканування, і ви можете завантажити повний результат до закінчення терміну його дії. додатинатомість домен до облікового запису AYAsec, і кожне сканування зберігається – ряд, який повідомляє вам, коли політику було послаблено та наскільки. Утримання залежить від вашого плану.

Зберігайте історію, а не лише результат

Запустіть повну перевірку DNS для ваших власних доменів за розкладом із повідомленням, коли політика повертається назад.

Почніть безкоштовне скануванняПорівняти плани

Інші шашки

View all free security scanners

[Засіб перевірки безпеки DNS] (/dns-security-checker/) - DNSSEC, сервери імен і самі записи

[Усі чотири сканери] (/tools/) - порти, TLS, HTTP і DNS

Структуровані дані для вбудовування

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec DMARC Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/dmarc-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

Не додавайте розмітку FAQPage або HowTo – Google вилучив обидва типи результатів.