DMARC. Βήμα προς βήμα.

Το DMARC (Domain-based Message Authentication, Reporting, and Conformance) είναι η αδιαπραγμάτευτη προϋπόθεση για το BIMI. Ένα domain με p=none δεν θα εμφανίσει ποτέ λογότυπο στο Gmail ή το Apple Mail, ανεξάρτητα από το πόσο τέλεια έχει ρυθμιστεί το αρχείο SVG. Αυτός ο οδηγός καλύπτει την πλήρη διαδρομή από την αρχική εφαρμογή έως την πλήρη επιβολή.

Προαπαιτούμενα

Πριν δημιουργήσετε μια εγγραφή DMARC, επιβεβαιώστε ότι τα ακόλουθα είναι ήδη σε ισχύ:

1. Εγγραφή SPF — Μια εγγραφή TXT στο apex domain σας που καθορίζει ποιοι mail servers είναι εξουσιοδοτημένοι να στέλνουν εκ μέρους σας. Παράδειγμα: v=spf1 include:_spf.google.com -all
2. Εγγραφή DKIM — Ένα δημόσιο κλειδί δημοσιευμένο στο DNS που χρησιμοποιούν οι servers παραλαβής για να επαληθεύσουν τις υπογραφές των email σας. Ο πάροχος email σας το δημιουργεί.
3. Πρόσβαση DNS — Δικαιώματα εγγραφής στη ζώνη DNS του domain σας (Cloudflare, Route 53, GoDaddy ή ο πίνακας ελέγχου του registrar σας).

Το DMARC απαιτεί τουλάχιστον ένα από τα SPF ή DKIM να είναι σωστά ρυθμισμένο και ευθυγραμμισμένο με το domain του From: πριν λειτουργήσει.

Βήμα 1: Δημιουργήστε μια Εγγραφή Παρακολούθησης (p=none)

Ξεκινήστε με μια πολιτική μόνο παρακολούθησης. Αυτή καταγράφει τις αποτυχίες ελέγχου ταυτότητας χωρίς να επηρεάζει την παράδοση email.

_dmarc.yourdomain.com  IN  TXT  "v=DMARC1; p=none; rua=mailto:[email protected]; pct=100"

Αναφορά ετικετών:

Δημοσιεύστε αυτήν την εγγραφή και περιμένετε 48–72 ώρες για τη διάδοση DNS.

Βήμα 2: Διαβάστε τις Συγκεντρωτικές Αναφορές σας

Οι συγκεντρωτικές αναφορές (RUA) φτάνουν ως συνημμένα XML, συνήθως μία φορά την ημέρα ανά πηγή αποστολής. Δείχνουν:

• Ποιες διευθύνσεις IP έστειλαν email χρησιμοποιώντας το domain σας
• Αν το SPF και το DKIM πέρασαν ή απέτυχαν
• Πόσα μηνύματα στάλθηκαν από κάθε πηγή

Τι να αναζητήσετε: Οποιαδήποτε νόμιμη υπηρεσία αποστολής (ο πάροχος email σας, CRM, σύστημα ticketing, πλατφόρμα marketing) που αποτυγχάνει στην ευθυγράμμιση SPF ή DKIM πρέπει να διορθωθεί πριν προχωρήσετε σε επιβολή. Η μετάβαση σε p=reject με ανεπίλυτες αποτυχίες ευθυγράμμισης θα προκαλέσει τον αποκλεισμό νόμιμων email.

Συνήθεις πηγές που απαιτούν ξεχωριστή ρύθμιση DKIM/SPF: Mailchimp, Salesforce, HubSpot, Zendesk, SendGrid, Google Workspace, Microsoft 365.

Βήμα 3: Μεταβείτε σε p=quarantine

Μόλις όλες οι νόμιμες πηγές αποστολής περάσουν τον έλεγχο ταυτότητας, ενημερώστε την πολιτική για καραντίνα των αποτυχημένων μηνυμάτων:

_dmarc.yourdomain.com  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=25"

Ξεκινήστε με pct=25 για να εφαρμόσετε την πολιτική καραντίνας μόνο στο 25% των αποτυχημένων μηνυμάτων. Παρακολουθήστε για μία έως δύο εβδομάδες. Αν κανένα νόμιμο email δεν τίθεται σε καραντίνα, αυξήστε σε pct=100.

Βήμα 4: Μεταβείτε σε p=reject

Πλήρης επιβολή. Τα μη επαληθευμένα μηνύματα απορρίπτονται άμεσα και δεν παραδίδονται ποτέ.

_dmarc.yourdomain.com  IN  TXT  "v=DMARC1; p=reject; rua=mailto:[email protected]; pct=100"

Αυτή είναι η ελάχιστη απαίτηση για το BIMI. Το Gmail και το Apple Mail δεν θα επεξεργαστούν την εγγραφή BIMI σας εκτός αν το domain σας έχει p=quarantine ή p=reject με pct=100. Μια πολιτική p=none είναι αόρατη για το BIMI — το λογότυπο δεν θα εμφανιστεί ποτέ ανεξάρτητα από το πόσο σωστά έχει ρυθμιστεί η υπόλοιπη εγκατάσταση.

Γιατί το p=none Αποκλείει το BIMI

Η προδιαγραφή BIMI απαιτεί από τους παρόχους mailbox να επαληθεύουν ότι το domain αποστολής έχει επιβεβλημένη πολιτική DMARC πριν εμφανίσουν το λογότυπο. Η λογική: ένα λογότυπο είναι ένα σήμα εμπιστοσύνης. Η εμφάνιση λογοτύπου για ένα domain που δεν έχει επιβάλει ελέγχους κατά της πλαστοπροσωπίας θα επέτρεπε στους επιτιθέμενους να εμφανίζουν επαληθευμένα λογότυπα σε phishing emails. Το p=none δεν παρέχει επιβολή, επομένως οι πάροχοι αρνούνται να αναγνωρίσουν την εγγραφή BIMI.

Ευθυγράμμιση: Η Λεπτομέρεια που Παραλείπουν οι Περισσότεροι Οδηγοί

Το DMARC περνά μόνο όταν το επαληθευμένο domain ευθυγραμμίζεται με το domain της κεφαλίδας From:. Υπάρχουν δύο λειτουργίες ευθυγράμμισης:

• Χαλαρή (προεπιλογή): Το οργανωτικό domain πρέπει να ταιριάζει. Το mail.example.com ευθυγραμμίζεται με το example.com.
• Αυστηρή: Το ακριβές domain πρέπει να ταιριάζει. Το mail.example.com δεν ευθυγραμμίζεται με το example.com.

Για το BIMI, χρησιμοποιήστε χαλαρή ευθυγράμμιση (adkim=r; aspf=r) εκτός αν έχετε συγκεκριμένο λόγο για αυστηρή. Η αυστηρή ευθυγράμμιση προκαλεί αποτυχίες για subdomains και υπηρεσίες αποστολής τρίτων.

Πλήρης Αναφορά Εγγραφής

_dmarc.yourdomain.com  IN  TXT  "v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s; rua=mailto:[email protected]; pct=100"

Επόμενα Βήματα

Μόλις το domain σας φτάσει σε p=reject:

1. Δημιουργήστε το BIMI SVG σας — Χρησιμοποιήστε το makeBIMI™ για να παράγετε ένα αρχείο λογοτύπου συμβατό με W3C SVG Tiny P/S. Δωρεάν, χωρίς απαίτηση λογαριασμού.
2. Εκτελέστε έναν έλεγχο DMARC — Το εργαλείο makeBIMI Domain Audit επαληθεύει την κατάσταση των εγγραφών DMARC, SPF και BIMI σε πραγματικό χρόνο.
3. Αποκτήστε ένα πιστοποιητικό — Για την εμφάνιση λογοτύπου στο Gmail, απαιτείται VMC ή CMC. Το veriBIMI℠ διαχειρίζεται την πλήρη διαδικασία πιστοποιητικού, συμπεριλαμβανομένης της διαχείρισης επιβολής DMARC, προετοιμασίας SVG και αίτησης στην Αρχή Πιστοποίησης.