DMARC एग्रीगेट रिपोर्ट कैसे पढ़ें और सुरक्षित रूप से p=reject पर कैसे जाएँ

DMARC एग्रीगेट रिपोर्ट XML फ़ाइलें हैं जो मेलबॉक्स प्रोवाइडर आपको भेजते हैं, आमतौर पर दिन में एक बार, जिनमें आपके डोमेन के नाम से मेल भेजने वाले हर स्रोत की सूची होती है और यह भी कि उसने SPF, DKIM और अलाइनमेंट पास किया या नहीं। इन्हें पढ़कर आप हर वैध प्रेषक खोजते हैं, विफल होने वालों को ठीक करते हैं और पता लगाते हैं कि कौन आपकी स्पूफ़िंग कर रहा है, ताकि आप असली मेल को ब्लॉक किए बिना p=none से p=reject पर जा सकें।

संक्षेप में

1. रिपोर्ट माँगें। पॉलिसी p=none रहते हुए अपने DMARC रिकॉर्ड में rua एड्रेस जोड़ें।
2. इंतज़ार करें और इकट्ठा करें। दो से चार सप्ताह की रिपोर्ट इकट्ठा करें, किसी भी मासिक भेजने सहित।
3. स्रोतों को छाँटें। हर सोर्स IP को इस तरह चिह्नित करें: वैध और अलाइन्ड, वैध लेकिन विफल, या अज्ञात।
4. जो विफल है उसे ठीक करें। हर वैध सेवा को अलाइन्ड DKIM सिग्नेचर या Return-Path दें।
5. चरणों में लागू करें। कम प्रतिशत पर quarantine करें, उसे बढ़ाएँ, फिर reject पर जाएँ।

रिपोर्ट माँगने वाला DMARC रिकॉर्ड

_dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com; adkim=r; aspf=r"

रिपोर्ट किसी दूसरे डोमेन को भेजना

अगर rua एड्रेस उस डोमेन से अलग डोमेन पर है जिसकी रिपोर्ट बन रही है, तो उस दूसरे डोमेन को एक ऐसा रिकॉर्ड प्रकाशित करना होगा जो इसकी अनुमति दे। अन्यथा प्रोवाइडर रिपोर्ट नहीं भेजेंगे। example.com की रिपोर्ट reports.example.net पर जाने के लिए:

example.com._report._dmarc.reports.example.net.  3600  IN  TXT  "v=DMARC1"

रिपोर्ट के अंदर क्या होता है

रिपोर्ट अटैचमेंट के रूप में आती हैं, आमतौर पर gzip या zip से कम्प्रेस्ड। एक खोलने पर आपको तीन हिस्से मिलेंगे: रिपोर्ट भेजने वाले की जानकारी, प्रोवाइडर को मिली पॉलिसी, और पंक्तियों की सूची, हर सोर्स IP और परिणाम के संयोजन के लिए एक।

<feedback>
  <report_metadata>
    <org_name>google.com</org_name>
    <report_id>1234567890</report_id>
    <date_range><begin>1759708800</begin><end>1759795199</end></date_range>
  </report_metadata>
  <policy_published>
    <domain>example.com</domain><adkim>r</adkim><aspf>r</aspf><p>none</p><pct>100</pct>
  </policy_published>
  <record>
    <row>
      <source_ip>203.0.113.10</source_ip>
      <count>1250</count>
      <policy_evaluated><disposition>none</disposition><dkim>pass</dkim><spf>pass</spf></policy_evaluated>
    </row>
    <identifiers><header_from>example.com</header_from></identifiers>
    <auth_results>
      <dkim><domain>example.com</domain><selector>mail1</selector><result>pass</result></dkim>
      <spf><domain>bounce.example.com</domain><result>pass</result></spf>
    </auth_results>
  </record>
</feedback>

हर स्रोत को तीन समूहों में से एक में रखें

किसी स्रोत की पहचान कैसे करें

• रिवर्स DNS: dig -x 203.0.113.10 +short अक्सर प्रोवाइडर का नाम बता देता है।
• ऑथेंटिकेशन डोमेन: auth_results में SPF और DKIM डोमेन आमतौर पर सेवा का पता दे देते हैं।
• आपकी अपनी सूची: आपके डोमेन के नाम से भेजने वाले हर टूल की सूची बनाएँ: मार्केटिंग प्लेटफ़ॉर्म, हेल्पडेस्क, CRM, बिलिंग सिस्टम, वेबसाइट फ़ॉर्म, HR टूल और सर्वर।
• वॉल्यूम और पैटर्न: किसी ज्ञात सेवा की छोटी, स्थिर संख्या सामान्य है; किसी अज्ञात IP से अचानक आया उछाल संदिग्ध है।

छोटी स्क्रिप्ट से रिपोर्ट का सारांश निकालें

अनज़िप की गई रिपोर्टों के फ़ोल्डर पर पहली नज़र के लिए, यह स्क्रिप्ट सोर्स IP और DMARC परिणाम के अनुसार संदेशों का कुल जोड़ निकालती है:

import glob
import xml.etree.ElementTree as ET
from collections import defaultdict

totals = defaultdict(int)
for path in glob.glob("reports/*.xml"):
    for rec in ET.parse(path).getroot().iter("record"):
        row = rec.find("row")
        ip = row.findtext("source_ip")
        ev = row.find("policy_evaluated")
        key = (ip, ev.findtext("dkim"), ev.findtext("spf"))
        totals[key] += int(row.findtext("count"))

for (ip, dkim, spf), n in sorted(totals.items(), key=lambda x: -x[1]):
    print(f"{ip:18} dkim={dkim:5} spf={spf:5} messages={n}")

अलाइनमेंट विफलताएँ ठीक करना

चरणों में प्रवर्तन पर जाएँ

जब वैध स्रोत अलाइन्ड हो जाएँ और केवल अज्ञात स्रोत विफल हों, तब पॉलिसी धीरे-धीरे बढ़ाएँ। हर चरण पर कम से कम एक सप्ताह रुकें और आगे बढ़ने से पहले रिपोर्ट पढ़ें।

p=reject के बाद भी निगरानी रखें

• शुरुआत में साप्ताहिक समीक्षा करें, फिर मासिक। आपके डोमेन के नाम से भेजने वाले नए टूल विफलताओं के रूप में दिखेंगे।
• ऑनबोर्डिंग में एक कदम जोड़ें: आपके डोमेन के नाम से ईमेल भेजने वाला कोई भी नया सिस्टम लाइव होने से पहले ऑथेंटिकेट किया जाए।
• पार्क किए गए डोमेन की रक्षा करें: जिन डोमेन से आप नहीं भेजते उन पर p=reject और खाली SPF रिकॉर्ड प्रकाशित करें।
• BIMI की तैयारी पर नज़र रखें: अगर आप बाद में चाहते हैं कि आपका लोगो इनबॉक्स में दिखे, तो लागू DMARC पॉलिसी पूर्वापेक्षा है।

आगे पढ़ें और स्रोत

• RFC 7489: Domain-based Message Authentication, Reporting, and Conformance (DMARC)
• dmarc.org: DMARC का अवलोकन
• Google: DMARC सेट करें
• RFC 8617: The Authenticated Received Chain (ARC)
• संबंधित गाइड: भेजने वाले डोमेन को ऑथेंटिकेट करें और बल्क प्रेषक आवश्यकताएँ।