I rapporti aggregati DMARC sono il ciclo di feedback che fa funzionare DMARC, ma arrivano come XML denso e difficile da leggere a mano. Ecco cosa contengono e come agire di conseguenza.
Cosa contiene un rapporto aggregato
Ogni rapporto (definito da RFC 7489) ha tre parti: i metadati che identificano chi lo ha generato e l'intervallo di date, il criterio DMARC che il suo dominio pubblicava in quel momento e un insieme di record. Ogni record rappresenta un IP di origine che ha inviato posta a nome del suo dominio, con il conteggio dei messaggi, i risultati SPF e DKIM, se ciascun risultato si è allineato con il dominio From e la disposizione applicata dal ricevente (consegnato, in quarantena o rifiutato).
I campi più importanti
- IP di origine - quale server ha inviato la posta. L'analizzatore risolve il suo hostname tramite DNS inverso, così può distinguere il suo CRM da un ignoto autore di spoofing.
- Conteggio - quanti messaggi rappresenta quella riga. Una riga che fallisce inviando migliaia di messaggi conta molto più di un caso isolato.
- Risultato SPF / DKIM + allineamento - un passaggio la protegge solo se si allinea anche con il suo dominio From; veda come funziona l'allineamento SPF. "Passato ma non allineato" non è un passaggio DMARC.
- Disposizione - cosa è effettivamente accaduto alla posta secondo il suo criterio attuale.
Interpretare gli scenari comuni
- Tutto allineato e superato. I suoi mittenti legittimi sono configurati correttamente: può inasprire in sicurezza il suo criterio.
- Il suo mittente supera SPF ma non è allineato. Di solito un servizio di terze parti che invia dal proprio return-path. Lo corregga con un return-path personalizzato o la firma DKIM sul suo dominio.
- Un IP sconosciuto che invia volume e fallisce. È spoofing, esattamente ciò che l'applicazione di DMARC blocca.
- SPF PermError. Il suo record SPF supera il limite di 10 ricerche; AutoSPF lo appiattisce così quelle righe iniziano a passare, e chiarisce i comuni miti sullo SPF flattening.
Usare i rapporti per passare da p=none a p=reject
I rapporti esistono affinché lei possa raggiungere l'applicazione in sicurezza. Inizi con p=none e legga i rapporti finché ogni fonte legittima non mostra passaggi allineati. Poi passi a p=quarantine, osservi le conseguenze e infine a p=reject. L'analizzatore compie questa valutazione per un singolo rapporto; convalidi i record sottostanti con il DMARC checker e l'SPF checker man mano che procede, e veda la progressione completa nella nostra guida a DMARC.
Da un singolo rapporto al monitoraggio continuo
Questo strumento è ideale per esaminare un singolo rapporto su richiesta. Quando ne riceve decine al giorno su più domini, leggerli uno alla volta smette di essere sostenibile: il nostro prodotto affine DMARC Report acquisisce automaticamente ogni rapporto aggregato e forense e traccia i tassi di successo nel tempo.