DMARC ёзуви доменингиз номидан юборилган хатларни қабул қилувчи почта серверлари қандай текшириши ва сохта хатлар билан нима қилиши кераклигини белгилайди. У SPF ва DKIM устига қурилади: бу икки механизм хатнинг ҳақиқийлигини текширади, DMARC эса натижани "From" майдонидаги домен билан солиштиради ва сиёсатни эълон қилади. Муаммо шундаки, кўп компаниялар DMARC'ни бир кунда p=reject билан ёқиб юборади ва эртасига ҳисоб-фактуралар, сайтдаги буюртма хабарлари ёки CRM тарқатмалари мижозларга етиб бормай қолади. Шунинг учун DMARC'ни босқичма-босқич, ҳисоботларга таяниб жорий этиш керак.
DMARC ёзуви қандай тузилган
DMARC оддий TXT ёзув бўлиб, у доменнинг ўзида эмас, _dmarc субдоменида жойлашади. Масалан, example.uz учун ёзув номи _dmarc.example.uz бўлади. Ёзув ичида нуқтали вергул билан ажратилган теглар бор ва уларнинг ҳар бири аниқ вазифани бажаради. Энг муҳими p теги бўлиб, у уч қийматдан бирини олади: none фақат кузатиш, quarantine шубҳали хатни спам папкасига юбориш, reject эса уни бутунлай рад этишни билдиради.
_dmarc.example.uz. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.uz; fo=1"Бу ерда rua теги агрегат ҳисоботлар қайси манзилга юборилишини кўрсатади. Gmail, Yahoo ва бошқа йирик провайдерлар одатда кунига бир марта XML форматдаги ҳисобот юборади: унда қайси IP манзилдан доменингиз номидан нечта хат келгани, SPF ва DKIM натижалари ва мослик (alignment) ҳолати ёзилади. fo=1 теги эса батафсил хатолик ҳисоботлари учун мўлжалланган, лекин кўп провайдерлар уларни умуман юбормайди, шунинг учун асосий таянч агрегат ҳисоботлардир.
1-босқич: p=none билан кузатишни бошлаш
Биринчи босқичда ҳеч қандай хат блокланмайди, сиз фақат маълумот тўплайсиз. Бу босқичнинг мақсади доменингиз номидан хат юборадиган барча тизимларни аниқлашдир. Кўпинча компания раҳбари фақат корпоратив почтани билади, лекин ҳисоботларни очганда сайтдаги алоқа формаси, бухгалтерия дастури, онлайн-касса, маркетинг тарқатма хизмати ва ҳатто эски принтер-сканер ҳам хат юбораётгани маълум бўлади.
Ҳисоботлар учун алоҳида почта қутиси очинг, чунки фаол доменларга кунига ўнлаб XML файл келиши мумкин. XML'ни қўлда ўқиш ноқулай, шу сабабли бепул ёки пуллик DMARC таҳлил хизматларидан фойдаланиш мумкин, улар маълумотни жадвал ва график кўринишида беради. Агар ҳисоботларни бошқа домендаги манзилга юбормоқчи бўлсангиз, ўша доменда рухсат ёзуви бўлиши шарт, акс ҳолда провайдерлар ҳисобот юбормайди:
example.uz._report._dmarc.analytics-domen.uz. IN TXT "v=DMARC1"Кузатиш босқичини камида икки-тўрт ҳафта давом эттиринг. Ойлик ҳисоб-фактуралар ёки чораклик тарқатмалар каби кам учрайдиган хатлар ҳам ҳисоботга тушиши учун бу муддат етарли бўлиши керак.
Ҳисоботларни ўқиш ва манбаларни тартибга келтириш
Ҳисоботдаги ҳар бир манба учун битта саволга жавоб беринг: бу хат қонунийми? Агар қонуний бўлса, у SPF ёки DKIM орқали ўтиши ва домен мос келиши керак. DMARC учун иккаласидан биттаси мослик билан ўтгани етарли. Масалан, тарқатма хизмати хатни ўз серверидан юборса ва DKIM имзосини ўз домени билан қўйса, имзо ўтади, лекин мослик бўлмайди ва DMARC хатони кўрсатади. Ечим одатда хизмат созламаларида ўз доменингиз учун DKIM калитини ёқиш ва DNS'га улар берган CNAME ёки TXT ёзувни қўшишдир.
| Манба | Одатий муаммо | Ечим |
|---|---|---|
| Хостингдаги корпоратив почта | DKIM ёқилмаган | Панелда DKIM ёқиш, калитни DNS'га қўшиш |
| Сайтдаги алоқа формаси | PHP mail() бегона сервер номидан юборади | SMTP аутентификация орқали юборишга ўтиш |
| Тарқатма хизмати | DKIM хизмат домени билан имзоланган | Хизматда ўз домени учун DKIM созлаш |
| Номаълум IP манзиллар | Домен номидан сохта хат | Ҳеч нарса қилманг, айнан шулар блокланади |
Ҳисоботларда нотаниш мамлакатлардаги IP манзиллардан келаётган хатларни кўрсангиз, хавотирланманг: бу айнан DMARC тўхтатиши керак бўлган фишинг уринишлари. Уларни тузатиш шарт эмас.
2-босқич: quarantine ва pct билан эҳтиёткор ўтиш
Қонуний манбаларнинг деярли барчаси ўтаётганини кўрганингиздан кейин сиёсатни quarantine га кўтариш мумкин. Кўпчилик қабул қилувчилар pct тегини қўллаб-қувватлайди, у сиёсатни хатларнинг фақат бир қисмига қўллаш имконини беради. Масалан, аввал 25 фоиз билан бошлаб, бир-икки ҳафта кузатиб, кейин 50 ва 100 фоизга кўтариш мумкин. Шуни ёдда тутингки, DMARC стандартининг янги таҳририда бу тег қайта кўриб чиқилмоқда, шунинг учун унга тўлиқ таянманг ва ҳисоботларни кузатишни давом эттиринг.
_dmarc.example.uz. IN TXT "v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@example.uz"Агар ходим "мижозим хатимни спамда топди" деса, ўша хат қайси тизимдан кетганини аниқланг ва ҳисоботда текширинг.
3-босқич: p=reject ва субдоменлар
Ҳисоботлар бир неча ҳафта давомида барқарор бўлса ва қонуний хатларда муваффақиятсизлик қолмаса, якуний қадам p=reject дир. Энди доменингиз номидан сохта хат юборган фирибгар хати қабул қилувчи сервер томонидан рад этилади ва мижозларингиз қутисига умуман тушмайди. Субдоменлар учун sp теги алоҳида сиёсат беради. Хат юбормайдиган субдоменлар учун қатъий сиёсат қўйиш, айниқса, фойдали, чунки фирибгарлар кўпинча billing.example.uz каби ишончли кўринадиган номлардан фойдаланади.
_dmarc.example.uz. IN TXT "v=DMARC1; p=reject; sp=reject; adkim=r; aspf=r; rua=mailto:dmarc@example.uz"Ёзувни ўзгартиргандан кейин уни текшириб кўринг. Қуйидаги буйруқлар ёзув матнини қайтариши керак, агар натижа бўш бўлса, DNS ҳали янгиланмаган ёки ёзув номи нотўғри киритилган:
dig +short TXT _dmarc.example.uz
nslookup -type=TXT _dmarc.example.uzМисол: Тошкентдаги мебель дўкони
Тасаввур қилинг, Тошкентдаги мебель дўкони ўз сайтида онлайн буюртма қабул қилади, менежерлар корпоратив почтадан ишлайди, ҳар ой эса аксиялар ҳақида тарқатма юборилади. Бир куни мижозлар дўкон номидан "тўловни тасдиқланг" деган сохта хат олишади. Дўкон p=none билан бошлайди ва биринчи ҳафтада ҳисоботларда тўрт манба кўринади: корпоратив почта, сайт, тарқатма хизмати ва бир нечта хорижий IP. Сайт формаси SMTP орқали юборишга ўтказилади, тарқатма хизматида DKIM созланади. Бир ойдан кейин quarantine, яна уч ҳафтадан кейин reject қўйилади ва сохта хатлар мижозларга етиб бормай қолади.
sayt.uz хостингида корпоратив почта учун DKIM ва SPF ёзувларини кабинетдаги DNS бўлими орқали қўшиш мумкин, DMARC ёзуви эса оддий TXT ёзув сифатида худди шу ерда яратилади.
Кўп учрайдиган хатолар
- Бир доменда иккита DMARC ёзуви қолдириш: бундай ҳолда қабул қилувчилар ёзувни умуман эътиборсиз қолдириши мумкин.
- Кузатиш босқичини ўтказиб юбориб, дарҳол
rejectқўйиш ва қонуний хатларни йўқотиш. - Ҳисобот манзилини ёзиб, уни ҳеч қачон очмаслик:
p=noneабадий қолиб, ҳеч қандай ҳимоя бермайди. - SPF ёзувига барча хизматларни қўшиб, 10 та DNS сўров лимитидан ошиб кетиш.
DMARC бир марталик созлама эмас. Янги CRM, янги тарқатма хизмати ёки бошқа сервер қўшилганда ҳисоботларда янги манба пайдо бўлади ва уни ҳам тўғри созлаш керак бўлади. Шу сабабли ҳисоботларни reject га ўтгандан кейин ҳам вақти-вақти билан кўриб туринг.