SPF, DKIM या DMARC फ़ेल हो रहा है? नतीजा कैसे पढ़ें और ठीक कैसे करें

संक्षेप में

1. ऑथेंटिकेशन नतीजे ढूँढें। आपने जो मैसेज भेजा था उसे खोलें और उसका ओरिजिनल सोर्स या पूरे हेडर देखें।
2. SPF नतीजों का मतलब। Pass का मतलब है कि भेजने वाला IP सूची में है।
3. DKIM नतीजों का मतलब। Pass का मतलब है कि सिग्नेचर प्रकाशित की (published) गई कुंजी से मेल खाया।
4. DMARC नतीजों का मतलब। DMARC तब पास होता है जब SPF या DKIM पास हो और पास होने वाला डोमेन From डोमेन से अलाइन हो।
5. समाधान: कोई SPF रिकॉर्ड नहीं मिला। इसका मतलब है कि डोमेन पर कोई SPF TXT रिकॉर्ड नहीं है, या लुकअप उस नाम का हो रहा है जो आपने प्रकाशित किए नाम से अलग है।
6. समाधान: DKIM कुंजी नहीं मिली या अमान्य है। मैसेज के DKIM-Signature हेडर में सेलेक्टर यानी s= वैल्यू जाँचें, और पक्का करें कि selector._domainkey.yourdomain.com पर TXT रिकॉर्ड मौजूद है।

ऑथेंटिकेशन नतीजे ढूँढें

आपने जो मैसेज भेजा था उसे खोलें और उसका ओरिजिनल सोर्स या पूरे हेडर देखें। Authentication-Results नाम का हेडर ढूँढें, जिसे रिसीविंग सर्वर जोड़ता है। इसमें हर जाँच का नतीजा दिखता है, जैसे spf=pass, dkim=pass और dmarc=pass, साथ ही यह भी कि हर जाँच में कौन-सा डोमेन इस्तेमाल हुआ।

अगर रॉ टेक्स्ट समझना मुश्किल लगे, तो हमारा मुफ़्त ईमेल हेडर एनालाइज़र इन हेडरों को आपके लिए पढ़ देता है।

SPF नतीजों का मतलब

Pass का मतलब है कि भेजने वाला IP सूची में है। Fail का मतलब है कि वह सूची में नहीं है और रिकॉर्ड मैसेज को रिजेक्ट करने को कहता है। Softfail का मतलब है कि वह सूची में नहीं है और रिकॉर्ड मैसेज को संदेह की नज़र से देखने को कहता है। Neutral और none का मतलब है कि रिकॉर्ड कोई दावा नहीं करता या मौजूद ही नहीं है। Temperror DNS की अस्थायी समस्या है, और permerror का मतलब है कि रिकॉर्ड ही गड़बड़ है, जैसे दो रिकॉर्ड होना या बहुत ज़्यादा लुकअप होना।

अगर permerror दिखे, तो रिकॉर्ड को ही ठीक करें। अगर आपकी इस्तेमाल की जा रही किसी सर्विस से softfail या fail दिखे, तो वह सर्विस आपके रिकॉर्ड में जोड़ी नहीं गई है।

DKIM नतीजों का मतलब

Pass का मतलब है कि सिग्नेचर प्रकाशित की गई कुंजी से मेल खाया। Fail का मतलब है कि मेल नहीं खाया। आम कारण हैं: साइन होने के बाद मैसेज में बदलाव हो जाना, जैसे किसी दूसरे सिस्टम द्वारा फ़ुटर जोड़ना; DNS रिकॉर्ड गलत कॉपी हो जाना; या ऐसा सेलेक्टर जो भेजने वाले के इस्तेमाल किए सेलेक्टर से मेल नहीं खाता।

None का मतलब है कि मैसेज साइन ही नहीं हुआ था। जाँचें कि भेजने वाली सर्विस पर DKIM चालू है और आपका DNS रिकॉर्ड ठीक उसी नाम पर प्रकाशित है जो वहाँ दिखाया गया है।

DMARC नतीजों का मतलब

DMARC तब पास होता है जब SPF या DKIM पास हो और पास होने वाला डोमेन From डोमेन से अलाइन हो। इसलिए आपको spf=pass और dkim=pass दिखने पर भी dmarc=fail मिल सकता है, क्योंकि पास होने वाले डोमेन सर्विस के हैं, आपके नहीं।

यह सबसे उलझाने वाला मामला है। समाधान यह है कि भेजने वाली सर्विस के साथ अपने ही डोमेन को ऑथेंटिकेट करें, ताकि उसका DKIM सिग्नेचर और आदर्श रूप से उसका रिटर्न पाथ भी आपके डोमेन का इस्तेमाल करे।

समाधान: कोई SPF रिकॉर्ड नहीं मिला

इसका मतलब है कि डोमेन पर कोई SPF TXT रिकॉर्ड नहीं है, या लुकअप उस नाम का हो रहा है जो आपने प्रकाशित किए नाम से अलग है। जाँचें कि रिकॉर्ड Return-Path में दिए ठीक उसी डोमेन के रूट पर है, और गलती से किसी सबडोमेन पर नहीं डाल दिया गया।

याद रखें कि मेल सबडोमेन से भी आ सकता है, जिसके लिए अलग रिकॉर्ड चाहिए। रिकॉर्ड बनाने का तरीका जानने के लिए हमारी SPF गाइड देखें।

समाधान: DKIM कुंजी नहीं मिली या अमान्य है

मैसेज के DKIM-Signature हेडर में सेलेक्टर यानी s= वैल्यू जाँचें, और पक्का करें कि selector._domainkey.yourdomain.com पर TXT रिकॉर्ड मौजूद है। लंबी कुंजियों को एक ही वैल्यू के रूप में पेस्ट करना चाहिए। कुछ DNS पैनल उन्हें बाँट देते हैं या काट देते हैं, इसलिए प्रकाशित करने के बाद रिकॉर्ड को लुकअप करके जाँच लें।

अगर आपने हाल ही में प्रोवाइडर बदला है या कुंजियाँ रोटेट की हैं, तो हो सकता है कि कोई पुराना सेलेक्टर अब भी इस्तेमाल हो रहा हो। नए रिकॉर्ड प्रकाशित करें और साइनिंग चालू करने से पहले DNS के फैलने का इंतज़ार करें।

समाधान: SPF और DKIM पास हैं, फिर भी DMARC फ़ेल है

From हेडर के डोमेन की तुलना पास होने वाले डोमेनों से करें। अगर वे अलग हैं, तो अलाइनमेंट फ़ेल होता है। अपनी भेजने वाली सर्विस में कस्टम डोमेन सेट करें, ताकि DKIM आपके डोमेन से साइन करे।

अगर आपको पक्का नहीं पता कि कौन-से डोमेन शामिल हैं, तो DMARC एग्रीगेट रिपोर्ट उन्हें सोर्स के हिसाब से सूचीबद्ध करती हैं, और वे ठीक-ठीक दिखा देंगी कि कौन-से सेंडर अलाइन नहीं हैं।

समाधान: हर जगह पास है, फिर भी स्पैम में जा रहा है

ऑथेंटिकेशन एक ज़रूरी शर्त है, गारंटी नहीं। अगर सब कुछ पास है और फिर भी मेल स्पैम में पहुँच रहा है, तो कारण आमतौर पर रेप्युटेशन, कंटेंट या लिस्ट में होता है: शिकायतों की ऊँची दर, खरीदे गए पते, वॉल्यूम में अचानक उछाल, या स्पैम जैसी सब्जेक्ट लाइन।

अपनी शिकायत और बाउंस दरें जाँचें, देखें कि आप किन्हें भेज रहे हैं, और अगर हाल में वॉल्यूम बढ़ाया है तो रफ़्तार धीमी करें। हमारी डिलीवरेबिलिटी गाइड इन कदमों को कवर करती हैं।

काम का एक शांत क्रम

SPF से शुरू करें, क्योंकि उसे ठीक करना सबसे जल्दी होता है। फिर हर सेंडर के लिए DKIM जाँचें। उसके बाद DMARC अलाइनमेंट देखें। एक बार में एक ही चीज़ बदलें और दोबारा टेस्ट करें, ताकि पता रहे कि किस बदलाव से फ़र्क पड़ा।

अगर आप अटक जाएँ, तो हमें मैसेज हेडर और अपना डोमेन नाम भेजें। हम आपको यह ढूँढने में मदद करेंगे कि कौन-सी जाँच और क्यों फ़ेल हो रही है।

हेडर का एक उदाहरण

एक सामान्य नतीजे की लाइन कुछ ऐसी दिखती है: Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=bounce.yourdomain.com; dkim=pass header.d=yourdomain.com; dmarc=pass header.from=yourdomain.com. हर हिस्सा उस डोमेन का नाम बताता है जिसकी जाँच हुई।

इसे दाईं ओर से पढ़ें। header.from डोमेन वही है जो प्राप्तकर्ता को दिखता है। dkim header.d और spf smtp.mailfrom डोमेन वे हैं जो जाँच में इस्तेमाल हुए। अगर वे header.from से अलग हैं और उसके सबडोमेन भी नहीं हैं, तो अलाइनमेंट फ़ेल होने की उम्मीद रखें।

आगे पढ़ें और स्रोत

• RFC 7208: Sender Policy Framework (SPF)
• RFC 6376: DomainKeys Identified Mail (DKIM) Signatures
• RFC 7489: DMARC

MigoSMTP में करें: हेल्प सेंटर लेख

• ऑथेंटिकेशन डिबग करने के लिए ईमेल हेडर पढ़ें
• SPF permerror और 10-लुकअप सीमा ठीक करें
• कस्टम रिटर्न-पाथ और ट्रैकिंग डोमेन

संबंधित गाइड और टूल

• ईमेल हेडर एनालाइज़र: ऑथेंटिकेशन नतीजे आसान भाषा में पढ़ें।
• SPF रिकॉर्ड कैसे बनाएँ: सिंटैक्स, उदाहरण और आम त्रुटियाँ।
• DMARC कैसे सेट अप करें: p=none से शुरू करें और सुरक्षित तरीके से reject तक पहुँचें।