SPF, DKIM और DMARC समझें: जालसाज़ी रोकें और इनबॉक्स तक पहुँचें

• SPF उन सर्वरों की सूची है जिन्हें आपके डोमेन से मेल भेजने की अनुमति है।
• DKIM हर संदेश पर हस्ताक्षर करता है; जाँचने के लिए सार्वजनिक कुंजी DNS में प्रकाशित होती है।
• DMARC प्राप्तकर्ताओं को बताता है कि SPF और DKIM विफल होने पर क्या करें, और आपको रिपोर्ट भेजता है। यह तभी सफल होता है जब दिखने वाले 'From' पते का डोमेन मेल खाता हो।
• p=none से शुरू करें, रिपोर्ट पढ़ें, और जब सभी वैध प्रेषक सफल होने लगें तब quarantine और फिर reject पर जाएँ।

फ़रवरी 2024 से Gmail और Yahoo हर प्रेषक से SPF या DKIM माँगते हैं। थोक प्रेषकों (Google के अनुसार Gmail पतों पर रोज़ 5,000 से ज़्यादा संदेश भेजने वाले) को SPF, DKIM और एक DMARC रिकॉर्ड (p=none काफ़ी है), SPF या DKIM से मेल खाता 'From' डोमेन, मार्केटिंग मेल में एक-क्लिक अनसब्सक्राइब और 0.3% से कम स्पैम शिकायत दर चाहिए।

भले ही आप कम मेल भेजते हों, रिकॉर्ड न होने पर फ़िशिंग में आपके डोमेन की नक़ल करना आसान हो जाता है, और प्राप्तकर्ता ऐसे डोमेन के मेल पर कम भरोसा करते हैं।

SPF आपके डोमेन पर एक ही TXT रिकॉर्ड है जो v=spf1 से शुरू होता है, अनुमत प्रेषकों की सूची देता है और बाकी सबके लिए एक नियम पर ख़त्म होता है। include: किसी प्रदाता की सूची जोड़ता है, ip4:/ip6: आपके अपने सर्वर जोड़ते हैं और mx डोमेन के MX सर्वरों को अनुमति देता है।

• ठीक एक SPF रिकॉर्ड प्रकाशित करें। दो v=spf1 रिकॉर्ड होने पर SPF विफल (permerror) हो जाता है; उन्हें एक में मिलाएँ।
• SPF ज़्यादा से ज़्यादा 10 DNS लुकअप कर सकता है (हर include, a, mx, exists और redirect गिना जाता है, भीतर वाले भी)। इससे ज़्यादा होने पर SPF विफल होता है; जिन include का अब उपयोग नहीं, उन्हें हटा दें।
• -all (fail) सूची से बाहर के प्रेषकों को अस्वीकार करने को कहता है, ~all (softfail) उन्हें संदिग्ध मानने को। DMARC होने पर ~all आम और सुरक्षित है।
• SPF लिफ़ाफ़े के प्रेषक (Return-Path) को जाँचता है, लोगों को दिखने वाले 'From' पते को नहीं, और मेल फ़ॉरवर्ड होने पर टूट जाता है। इसीलिए DKIM भी ज़रूरी है।

भेजने वाला सर्वर हेडर और संदेश के मुख्य भाग पर निजी कुंजी से हस्ताक्षर करता है; प्राप्तकर्ता selector._domainkey.example.com से सार्वजनिक कुंजी लेकर हस्ताक्षर जाँचता है। सेलेक्टर आपके प्रदाता द्वारा चुना गया नाम है (google, selector1, s1, k1…), इसलिए हर सेवा की अपनी कुंजी होती है।

जिस भी सेवा से आप मेल भेजते हैं (मेलबॉक्स प्रदाता, न्यूज़लेटर टूल, CRM, ऑनलाइन शॉप), उसमें DKIM चालू करें और उसका दिया रिकॉर्ड (आमतौर पर TXT या CNAME) प्रकाशित करें। विकल्प हो तो 2048-बिट कुंजी उपयोग करें। DKIM फ़ॉरवर्डिंग के बाद भी टिकता है, इसलिए DMARC के लिए यह ज़्यादा भरोसेमंद हिस्सा है।

DMARC _dmarc.example.com पर रहता है। संदेश DMARC में तब सफल होता है जब SPF या DKIM सफल हो और जिस डोमेन के लिए वह सफल हुआ वह 'From' पते के डोमेन से मेल खाए (alignment)। जो प्रदाता अपने डोमेन से हस्ताक्षर करता है, वह तब तक मदद नहीं करता जब तक आप अपने डोमेन के लिए DKIM सेट न करें।

rua=mailto: प्राप्तकर्ताओं से रोज़ की समेकित रिपोर्ट (XML) माँगता है, जिनमें दिखता है कि कौन-से सर्वर आपके डोमेन के नाम से मेल भेज रहे हैं और वे सफल हुए या नहीं। नीति सख़्त करने से पहले भूले हुए प्रेषकों को इन्हीं रिपोर्टों से ढूँढा जाता है।

• उन सबकी सूची बनाएँ जो आपके डोमेन से मेल भेजते हैं: मेलबॉक्स, वेबसाइट फ़ॉर्म, न्यूज़लेटर, बिलिंग, सपोर्ट डेस्क।
• सबको शामिल करने वाला एक SPF रिकॉर्ड प्रकाशित करें और हर एक में DKIM चालू करें।
• v=DMARC1; p=none; rua=mailto:… जोड़ें और दो से चार हफ़्ते रिपोर्ट पढ़ें।
• हर विफल वैध प्रेषक को ठीक करें, फिर p=quarantine पर जाएँ (चाहें तो pct= से धीरे-धीरे) और बाद में p=reject पर।
• जो डोमेन कभी मेल नहीं भेजते, वे v=spf1 -all और v=DMARC1; p=reject प्रकाशित करें ताकि कोई उनकी नक़ल न कर सके।

• MTA-STS और TLS-RPT दूसरे सर्वरों को केवल सत्यापित TLS पर आपको मेल पहुँचाने और समस्याओं की रिपोर्ट करने को कहते हैं।
• BIMI समर्थित इनबॉक्स में आपके संदेशों के पास आपका लोगो दिखाता है; इसके लिए DMARC का quarantine या reject पर होना ज़रूरी है।

ई-मेल सुरक्षा जाँच MX, SPF (उसके DNS लुकअप की संख्या के साथ), आम या आपके अपने सेलेक्टर के लिए DKIM, DMARC, MTA-STS, TLS-RPT और BIMI पढ़ती है और मिली समस्याएँ दिखाती है। हर DNS बदलाव के बाद इसे फिर चलाएँ; TTL के अनुसार नए रिकॉर्ड दिखने में कुछ मिनट से एक घंटे तक लग सकता है।