DKIM, SPF और DMARC: संपूर्ण सेटअप गाइड

संक्षेप में

1. तीन रिकॉर्ड क्यों। SPF, DKIM और DMARC हर एक अलग सवाल का जवाब देता है।
2. SPF: बताएँ कौन भेज सकता है। SPF आपके डोमेन पर एक TXT रिकॉर्ड है जो उन सर्वरों की सूची देता है जिन्हें उसका मेल भेजने की अनुमति है।
3. DKIM: हर मैसेज पर हस्ताक्षर करें। DKIM हर मैसेज में एक क्रिप्टोग्राफ़िक सिग्नेचर जोड़ता है।
4. DMARC: पॉलिसी तय करें। DMARC बाकी दोनों को आपस में जोड़ता है।
5. सरल शब्दों में अलाइनमेंट। DMARC तब पास होता है जब SPF या DKIM पास हो और जिस डोमेन को जाँचा गया वह आपके From पते के डोमेन से मेल खाए।
6. जाँचें और मॉनिटर करें। अपने नियंत्रण वाले मेलबॉक्स में एक टेस्ट मैसेज भेजें और मिली हुई कॉपी के हेडर में ऑथेंटिकेशन नतीजे पढ़ें।

तीन रिकॉर्ड क्यों

SPF, DKIM और DMARC हर एक अलग सवाल का जवाब देता है। SPF पूछता है कि क्या भेजने वाले सर्वर को इस डोमेन की ओर से भेजने की अनुमति है। DKIM पूछता है कि क्या मैसेज पर डोमेन ने हस्ताक्षर किए थे और रास्ते में उसमें बदलाव नहीं हुआ। DMARC पूछता है कि जब ये जाँचें फ़ेल हों तो रिसीवर को क्या करना चाहिए, और इसकी जानकारी आपको भी देता है।

मेलबॉक्स प्रोवाइडर अब तीनों की अपेक्षा रखते हैं, ख़ासकर ज़्यादा वॉल्यूम वाले सेंडर से। इन्हें पब्लिश करने से आपका अपना डोमेन फ़िशिंग कोशिशों में जाली तरीके से इस्तेमाल होने से भी बचता है।

SPF: बताएँ कौन भेज सकता है

SPF आपके डोमेन पर एक TXT रिकॉर्ड है जो उन सर्वरों की सूची देता है जिन्हें उसका मेल भेजने की अनुमति है। हर डोमेन पर एक ही SPF रिकॉर्ड पब्लिश करें और उसमें अपने MigoSMTP डैशबोर्ड में दिखाया गया मान शामिल करें। अंत का ~all बाकी सेंडर को संदिग्ध चिह्नित करता है; कुछ टीमें बाद में -all पर चली जाती हैं, जब उन्हें यक़ीन हो जाता है कि हर वैध सेंडर सूची में है।

v=spf1 include:YOUR_SPF_HOST ~all

रिकॉर्ड को दस DNS लुकअप के भीतर रखें। हर include सीमा में गिना जाता है, इसलिए उन प्रोवाइडर को हटा दें जिन्हें आप अब उपयोग नहीं करते। एक डोमेन पर दो अलग SPF रिकॉर्ड होना त्रुटि है और इससे SPF फ़ेल हो जाता है।

DKIM: हर मैसेज पर हस्ताक्षर करें

DKIM हर मैसेज में एक क्रिप्टोग्राफ़िक सिग्नेचर जोड़ता है। रिसीवर उसे उस पब्लिक की से जाँचता है जिसे आप DNS में एक सेलेक्टर नाम के तहत पब्लिश करते हैं। MigoSMTP आपको जोड़ने के लिए सटीक रिकॉर्ड देता है, आमतौर पर एक या अधिक CNAME या TXT रिकॉर्ड।

SELECTOR._domainkey.example.com  CNAME  YOUR_DKIM_TARGET

रिकॉर्ड ठीक वैसे ही जोड़ें जैसे आपके डैशबोर्ड में दिखाए गए हैं, फिर सत्यापित करें। हर सेंडिंग सर्विस के लिए अलग सेलेक्टर उपयोग करें, ताकि आप दूसरों को छुए बिना किसी एक को रोटेट या हटा सकें।

DMARC: पॉलिसी तय करें

DMARC बाकी दोनों को आपस में जोड़ता है। यह रिसीवर को बताता है कि जब कोई मैसेज आपके दिखने वाले From डोमेन के साथ SPF और DKIM अलाइनमेंट दोनों में फ़ेल हो तो क्या करना है, और इसकी रिपोर्ट कहाँ भेजनी है।

_dmarc.example.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

रिपोर्टिंग चालू करके p=none से शुरू करें, हर वैध सेंडर को पहचानने के लिए रिपोर्ट पढ़ें, कमियाँ ठीक करें, फिर quarantine पर और अंत में reject पर जाएँ। सीधे reject पर जाने से आपका अपना वैध मेल ब्लॉक हो सकता है।

सरल शब्दों में अलाइनमेंट

DMARC तब पास होता है जब SPF या DKIM पास हो और जिस डोमेन को जाँचा गया वह आपके From पते के डोमेन से मेल खाए। DKIM के लिए यह सिग्नेचर में मौजूद डोमेन है। SPF के लिए यह एन्वलप सेंडर डोमेन है, From पता नहीं।

इसीलिए अपने डोमेन से भेजना, और उसी डोमेन के लिए DKIM साइन करना, साझा डोमेन पर निर्भर रहने से ज़्यादा मज़बूत है। अगर SPF और DKIM पास होने पर भी आपके DMARC चेक फ़ेल होते हैं, तो आमतौर पर अलाइनमेंट ही कारण होता है।

जाँचें और मॉनिटर करें

अपने नियंत्रण वाले मेलबॉक्स में एक टेस्ट मैसेज भेजें और मिली हुई कॉपी के हेडर में ऑथेंटिकेशन नतीजे पढ़ें। आपको spf=pass, dkim=pass और dmarc=pass दिखना चाहिए। आप अपने रिकॉर्ड सीधे क्वेरी भी कर सकते हैं।

dig +short TXT example.com
dig +short TXT _dmarc.example.com
dig +short CNAME SELECTOR._domainkey.example.com

मॉनिटरिंग जारी रखें। दूसरे टूल के लिए किए गए DNS बदलाव बिना चेतावनी के आपके रिकॉर्ड तोड़ सकते हैं, और समय के साथ नए सेंडर आते रहते हैं। DMARC रिपोर्ट नियमित रूप से देखें।

आम गलतियाँ

दो SPF रिकॉर्ड पब्लिश करना, दस DNS लुकअप से ऊपर चले जाना, DMARC रिकॉर्ड को गलत होस्ट नाम पर जोड़ना, आपके DNS प्रोवाइडर का लंबे TXT मानों को तोड़ना या बदल देना, और उन सबडोमेन को भूल जाना जो मेल भी भेजते हैं।

अगर सत्यापन विफल हो, तो डोमेन पर ऑथेंटिकेशन चेकर चलाएँ ताकि देखें कि बाकी इंटरनेट को क्या दिखता है, और दोबारा कोशिश करने से पहले DNS बदलाव के फैलने का इंतज़ार करें।

आगे पढ़ें और स्रोत

• RFC 7208: Sender Policy Framework (SPF)
• RFC 6376: DomainKeys Identified Mail (DKIM) Signatures
• RFC 7489: DMARC
• Google: ईमेल सेंडर गाइडलाइन

MigoSMTP में करें: हेल्प-सेंटर लेख

• MigoSMTP में सेंडिंग डोमेन ऑथेंटिकेट करें: SPF, DKIM और DMARC
• DKIM की रोटेशन, सेलेक्टर और की की लंबाई
• अपना सेंडिंग डोमेन सत्यापित करें: DNS रिकॉर्ड और प्रोपेगेशन

संबंधित गाइड और टूल

• वार्मअप गाइड: नए IP को सुरक्षित तरीके से रैंप करें।
• इनबॉक्स प्रोवाइडर गाइड: हर प्रोवाइडर क्या जाँचता है।
• DMARC जनरेटर: अपना रिकॉर्ड बनाएँ।