מה SPF בודק?
SPF מפרסם ב-DNS אילו שרתים רשאים לשלוח עבור הדומיין המשמש במעטפת הדואר, ובמצבים מסוימים עבור HELO. זה אינו בהכרח הדומיין שמוצג למשתמש בשדה From. לכן SPF מוצלח לבדו אינו מוכיח שהשולח הגלוי אומת. ממפים את שירותי התיבות, האתר והדיוור ומגדירים רשומה לפי הוראות הספקים ומגבלות הפרוטוקול. אין להעתיק רשומה מעסק אחר או ליצור כמה רשומות SPF מתחרות לאותו שם.
מה DKIM בודק?
DKIM מוסיף להודעה חתימה דיגיטלית הקשורה לדומיין החותם. המקבל משתמש במפתח ציבורי שפורסם ב-DNS כדי לבדוק את החלקים שנחתמו. החתימה אינה הצפנה של תוכן ההודעה ואינה מוכיחה שהבקשה שבתוכה אמינה. שירותים שונים עשויים להשתמש בבוררים ובדומיינים שונים, ולכן בודקים הודעה שנשלחה מכל מקור בפועל. גם חתימה שעברה בדיקה צריכה להתאים לדומיין From כדי לסייע בהצלחת DMARC.
איך DMARC מחבר בין הבדיקות?
DMARC בודק התאמה לדומיין From: די ב-SPF שעבר ומתאים, או ב-DKIM שעבר ומתאים, כדי לעבור את בדיקת DMARC. המדיניות מבקשת מהמקבל כיצד לטפל בכישלון: none למעקב, quarantine להסגר או reject לדחייה; ההחלטה בפועל כפופה גם למדיניות המקבל. מתחילים במיפוי ובבדיקת דוחות לפני החמרה. אף אחד מהמנגנונים אינו מבטיח הגעה לתיבה או מונע כל התחזות, למשל באמצעות דומיין דומה או חשבון אמיתי שנפגע.
איזו זהות נבדקת בכל מנגנון
שלושת המנגנונים משלימים זה את זה. תוצאה עוברת אצל ספק השליחה אינה מבטיחה התאמה לדומיין שהנמען רואה בשדה From.
| מנגנון | זהות שנבדקת | מסקנה ומגבלה |
|---|---|---|
| SPF | דומיין מעטפת השליחה, ולעיתים HELO | כתובת השליחה מורשית לזהות הזאת; לא בהכרח ל-From |
| DKIM | דומיין d= שבחתימה | החתימה ניתנת לאימות; היא יכולה להיות של ספק אחר |
| DMARC | התאמה ל-From דרך SPF או DKIM שעברו | אימות שימוש בדומיין; לא הבטחת תוכן בטוח או מסירה |
שתי חתימות שעברו יכולות להוביל לתוצאה שונה
הדוגמאות מצומצמות ומלאכותיות. בפועל בודקים גם מצב התאמה, דומיינים ארגוניים ותוצאות שקבע המקבל. אין להסיק מצב הודעה מתוך קטע כותרת שלא אומת.
| From | דומיין חתימה ותוצאה | משמעות |
|---|---|---|
| [email protected] | d=example.com; dkim=pass | התאמה מדויקת יכולה לספק מסלול DMARC |
| [email protected] | d=vendor.example; dkim=pass | החתימה הזאת אינה מותאמת; ייתכן מסלול SPF מותאם אחר |
איפה ממשיכים את הבדיקה
RFC 9989 הוא מקור DMARC המעודכן; התנהגות מערכות נבדקת בנפרד מול תיעודן. לבירור DKIM פונים למדריך selector, לחריגת SPF למדריך lookup ולמעבר לאכיפה למדריך none-to-reject. אין רשומת DNS אחת שמתאימה לכל עסק. גם pass תקין אינו מבטיח הגעה לתיבה הראשית: החלטת מסירה כוללת שיקולים נוספים אצל המקבל.
