DMARC कैसे सेट अप करें: उदाहरणों के साथ चरण-दर-चरण गाइड

संक्षेप में

1. DMARC क्या करता है। DMARC का पूरा नाम Domain-based Message Authentication, Reporting and Conformance है।
2. शुरू करने से पहले। DMARC तब पास होता है जब SPF या DKIM में से कोई एक पास हो और पास होने वाला डोमेन From एड्रेस के डोमेन से मेल खाए, यानी अलाइन हो।
3. चरण 1: मॉनिटरिंग मोड में रिकॉर्ड प्रकाशित करें। DMARC _dmarc.yourdomain.com पर एक TXT रिकॉर्ड है।
4. चरण 2: एग्रीगेट रिपोर्ट पढ़ें। रिसीवर rua एड्रेस पर रोज़ाना XML रिपोर्ट भेजते हैं।
5. रिपोर्ट पढ़ने का एक उदाहरण। मान लीजिए एक रिपोर्ट में आपके डोमेन के तीन सोर्स दिखते हैं।
6. आम मेलबॉक्स प्रोवाइडरों के साथ DMARC। अगर आपका स्टाफ़ मेल Google Workspace या Microsoft 365 पर चलता है, तो आपके डोमेन के लिए DKIM साइनिंग चालू करने के हर प्रोवाइडर के अपने चरण हैं और अपनी SPF include वैल्यू है।

DMARC क्या करता है

DMARC का पूरा नाम Domain-based Message Authentication, Reporting and Conformance है। यह दो पुरानी जाँचों पर बना है। SPF बताता है कि कौन-से सर्वर आपके डोमेन की ओर से भेज सकते हैं, और DKIM एक सिग्नेचर जोड़ता है जो साबित करता है कि मैसेज में बदलाव नहीं हुआ। DMARC दो चीज़ें जोड़ता है: एक नियम कि जब दोनों जाँचें आपके दिखने वाले From डोमेन से मेल न खाएँ तो रिसीवर क्या करें, और रिसीवरों के लिए आपको रिपोर्ट भेजने का एक तरीका।

DMARC के बिना कोई भी आपके डोमेन को From लाइन में डाल सकता है और रिसीवरों के पास आपकी ओर से कोई निर्देश नहीं होता कि क्या करना है। इसके साथ आप गलत इस्तेमाल देख सकते हैं, और तैयार होने पर रिसीवरों से उसे reject करने को कह सकते हैं।

शुरू करने से पहले

DMARC तब पास होता है जब SPF या DKIM में से कोई एक पास हो और पास होने वाला डोमेन From एड्रेस के डोमेन से मेल खाए, यानी अलाइन हो। इसलिए SPF और DKIM पहले से हर उस सर्विस के लिए काम कर रहे होने चाहिए जो आपके डोमेन के नाम से भेजती है: आपकी सेंडिंग सर्विस, आपके ऑफ़िस का मेलबॉक्स प्रोवाइडर, आपका CRM, आपका सपोर्ट डेस्क और कोई भी इनवॉइसिंग टूल।

हर एक की सूची बनाएँ। भूले हुए सेंडर DMARC रोलआउट में वैध मेल टूटने का सबसे आम कारण हैं। हमारा मुफ़्त चेकर दिखाता है कि आज क्या प्रकाशित है।

चरण 1: मॉनिटरिंग मोड में रिकॉर्ड प्रकाशित करें

DMARC _dmarc.yourdomain.com पर एक TXT रिकॉर्ड है। p=none पॉलिसी से शुरू करें, जो रिसीवरों से कोई कार्रवाई न करने को कहती है पर रिपोर्ट भेजना जारी रखती है। एड्रेस की जगह ऐसा मेलबॉक्स रखें जिसे आप सच में पढ़ते हैं, या कोई रिपोर्टिंग सर्विस।

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com

कुछ DNS पैनल डोमेन नाम खुद जोड़ देते हैं, इसलिए आप होस्ट के रूप में केवल _dmarc डालते हैं। दूसरों में पूरा नाम चाहिए। अगर आपका पैनल कोट्स हटा देता है या लंबी वैल्यू को बाँट देता है, तो स्क्रीन पर भरोसा करने के बजाय लुकअप टूल से नतीजा जाँचें।

चरण 2: एग्रीगेट रिपोर्ट पढ़ें

रिसीवर rua एड्रेस पर रोज़ाना XML रिपोर्ट भेजते हैं। हर रिपोर्ट में वे IP एड्रेस सूचीबद्ध होते हैं जिन्होंने आपके डोमेन का दावा करते हुए मेल भेजा, कितने मैसेज थे, और SPF व DKIM पास और अलाइन हुए या नहीं। रॉ XML पढ़ना कठिन है, इसलिए ज़्यादातर टीमें मुफ़्त या पेड रिपोर्ट व्यूअर इस्तेमाल करती हैं।

दो चीज़ें देखें। वैध सेंडर जो अलाइनमेंट में फ़ेल होते हैं, जिन्हें आपको ठीक करना है, और ऐसे सोर्स जिन्हें आप पहचानते नहीं, जो स्पूफ़िंग हो सकते हैं। इसे दो से चार हफ़्ते दें, ताकि मासिक सेंडर, जैसे बिलिंग रन, भी दिख जाएँ।

रिपोर्ट पढ़ने का एक उदाहरण

मान लीजिए एक रिपोर्ट में आपके डोमेन के तीन सोर्स दिखते हैं। पहला आपकी सेंडिंग सर्विस है: 40,000 मैसेज, SPF और DKIM दोनों पास और अलाइन। दूसरा आपके ऑफ़िस का मेलबॉक्स प्रोवाइडर है: 600 मैसेज, DKIM पास और अलाइन। तीसरा किसी दूसरे देश का एक अपरिचित सर्वर है: 900 मैसेज, दोनों फ़ेल।

पहले दो पर किसी कार्रवाई की ज़रूरत नहीं। तीसरा या तो कोई टूल है जिसे आप भूल गए, या कोई आपका रूप धरकर भेज रहा है। पॉलिसी सख़्त करने से पहले पता करें कि कौन-सा है। अगर वह भूला हुआ टूल है, तो उसका ऑथेंटिकेशन ठीक करें। अगर वह आपका नहीं है, तो p=reject ठीक इसी ट्रैफ़िक को रोकने के लिए है।

आम मेलबॉक्स प्रोवाइडरों के साथ DMARC

अगर आपका स्टाफ़ मेल Google Workspace या Microsoft 365 पर चलता है, तो आपके डोमेन के लिए DKIM साइनिंग चालू करने के हर प्रोवाइडर के अपने चरण हैं और अपनी SPF include वैल्यू है। पहले वह करें, फिर DMARC प्रकाशित करें। भारत में कई छोटे व्यवसाय DNS को GoDaddy, BigRock या Hostinger जैसे रजिस्ट्रार पैनल से, या Cloudflare से मैनेज करते हैं, और TXT रिकॉर्ड हर जगह एक ही तरह काम करता है।

आप जो भी इस्तेमाल करें, DMARC रिकॉर्ड केवल एक बार जोड़ें, और कुछ मिनट बाद लुकअप से उसे जाँचें। DNS बदलावों के फैलने में समय लग सकता है, और कुछ पैनल घंटों तक कैश रखते हैं।

चरण 3: जो फ़ेल हो रहा है उसे ठीक करें

फ़ेल होने वाले हर वैध सेंडर के लिए तय करें कि SPF ठीक करना है, DKIM, या दोनों। जो थर्ड-पार्टी टूल अपने डोमेन से भेजता है, उसे आपके डोमेन के लिए कस्टम DKIM सिग्नेचर चाहिए। भूले हुए सर्वर को SPF में जोड़ना होगा, और दस DNS लुकअप की सीमा के भीतर रहना होगा।

फ़ॉरवर्ड किया गया मेल SPF में फ़ेल हो सकता है क्योंकि फ़ॉरवर्डर का सर्वर आपके रिकॉर्ड में नहीं है। DKIM आमतौर पर फ़ॉरवर्डिंग में बचा रहता है, और यह पक्का करने की अच्छी वजह है कि हर सेंडर साइन करे।

चरण 4: quarantine पर जाएँ, फिर reject पर

जब रिपोर्ट दिखाएँ कि आपका वैध मेल पास हो रहा है, तो पॉलिसी को चरणों में सख़्त करें। p=quarantine रिसीवरों से फ़ेल होने वाले मेल को संदिग्ध मानने को कहता है, आमतौर पर स्पैम। p=reject उनसे मैसेज को रिफ़्यूज़ करने को कहता है। pct टैग आपको पहले मेल के एक हिस्से पर पॉलिसी लागू करने देता है।

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-reports@yourdomain.com

एक बार में एक कदम बढ़ें और हर चरण पर दो हफ़्ते तक रिपोर्ट देखते रहें। जल्दी reject तक पहुँचने का कोई इनाम नहीं है, और जल्दबाज़ी में किया गया बदलाव इनवॉइस और पासवर्ड रीसेट ब्लॉक कर सकता है।

सबडोमेन और अन्य टैग

DMARC रिकॉर्ड सबडोमेन पर भी लागू होता है, जब तक आप sp टैग न जोड़ें। अगर आप किसी सबडोमेन से मार्केटिंग मेल भेजते हैं, तो वहाँ अलग रिकॉर्ड प्रकाशित कर सकते हैं। adkim और aspf टैग अलाइनमेंट की सख़्ती तय करते हैं। Relaxed, जो डिफ़ॉल्ट है, सबडोमेन को ऑर्गनाइज़ेशनल डोमेन से मेल खाने देता है। ज़्यादातर सेंडरों को दोनों को जैसा है वैसा छोड़ देना चाहिए।

आपको फ़ोरेंसिक रिपोर्ट के लिए ruf टैग दिख सकता है। बहुत कम रिसीवर उन्हें भेजते हैं, और उनमें मैसेज का कंटेंट हो सकता है, इसलिए ज़्यादातर संगठन उन्हें इस्तेमाल नहीं करते।

बचने वाली गलतियाँ

एक डोमेन पर दो DMARC रिकॉर्ड प्रकाशित करने से दोनों अमान्य हो जाते हैं, इसलिए ठीक एक ही रखें। पहले ही दिन p=reject पर न कूदें। रिपोर्ट ऐसे मेलबॉक्स पर न भेजें जिसे कोई पढ़ता नहीं। और DMARC को अपने आप में डिलीवरेबिलिटी का समाधान न समझें: वह साबित करता है कि आप कौन हैं, यह नहीं कि आपका मेल चाहा गया है। लिस्ट की गुणवत्ता और शिकायत दरें अब भी तय करती हैं कि आप इनबॉक्स तक पहुँचते हैं या नहीं।

बड़े मेलबॉक्स प्रोवाइडर अब बल्क सेंडरों से SPF, DKIM और DMARC की अपेक्षा रखते हैं, इसलिए आपका वॉल्यूम मामूली हो तब भी इसे करना सार्थक है। मेलबॉक्स प्रोवाइडर की आवश्यकताओं पर हमारी गाइड बताती है कि हर एक क्या माँगता है।

आगे पढ़ें और स्रोत

• RFC 7489: DMARC
• RFC 7208: Sender Policy Framework (SPF)
• RFC 6376: DomainKeys Identified Mail (DKIM) Signatures
• Google: Email sender guidelines
• Yahoo: Sender best practices

MigoSMTP में करें: हेल्प सेंटर लेख

• DMARC रिपोर्ट पढ़ें और p=reject पर जाएँ
• कस्टम रिटर्न-पाथ और ट्रैकिंग डोमेन
• MigoSMTP में सेंडिंग डोमेन ऑथेंटिकेट करें: SPF, DKIM और DMARC

संबंधित गाइड और टूल

• DMARC रिकॉर्ड जनरेटर: ऐसा रिकॉर्ड बनाएँ जिसे आप DNS में पेस्ट कर सकें।
• SPF, DKIM और DMARC जाँचें: अपने डोमेन के रिकॉर्ड टेस्ट करें।
• मेलबॉक्स प्रोवाइडर की आवश्यकताएँ: Gmail, Outlook और Yahoo की अपेक्षाएँ।