Defaults.Exposed › Настройка › DMARC

Как да настроите DMARC в AWS Route 53

Добавете DMARC запис в хостираната зона на Route 53, за да кажете на пощенските доставчици как да постъпват с имейл, който не преминава вашите проверки.

Защо това е важно за вашия бизнес

DMARC свързва SPF и DKIM и добавя липсващото указание: какво трябва да направи получаващият пощенски доставчик, когато имейл, претендиращ да е от вас, не преминава проверките? Без DMARC всеки доставчик се досеща сам. С него вие решавате — и можете да поискате да ви изпращат отчети, показващи кой изпраща поща от ваше име.

Казано простичко: DMARC е това, което реално спира престъпниците да се представят за вашия домейн, за да измамят вашите клиенти или персонал. Той е политиката над заключалките, които SPF и DKIM осигуряват — безплатна и определено заслужаваща тези няколко минути.

Първо настройте SPF и DKIM

DMARC работи, като проверява резултатите от SPF и DKIM. Ако все още не сте ги добавили, направете го първо — DMARC политика без нищо под нея няма какво да прилага.

Потвърдете, че Route 53 управлява вашия DNS

Както при всеки DNS запис, това работи само ако Route 53 отговаря на DNS за вашия домейн. Route 53 е вашият DNS хост, а не вашият доставчик на пощенски кутии. В конзолата на Route 53 отворете Hosted zones, изберете вашия домейн и отбележете четирите NS (nameserver) стойности; те трябва да съответстват на nameserver-ите, зададени при вашия регистратор. Ако сте регистрирали домейна чрез Route 53, те обикновено вече съвпадат; ако е регистриран другаде — или имате повече от една хостирана зона за домейна — проверете внимателно. Ако активните nameserver-и сочат другаде, добавете DMARC записа при доставчика, който всъщност управлява вашия DNS.

Стъпка по стъпка в Route 53

Влезте в AWS конзолата и отворете Route 53.
В лявото меню изберете Hosted zones, след което кликнете на името на вашия домейн.
Кликнете Create record.
Ако се появи съветник с опции за маршрутизиране, преминете към простата форма (потърсете Quick create record).
В Record name въведете точно: _dmarc Не въвеждайте името на вашия домейн след него — Route 53 го добавя автоматично (показва вашия домейн до полето).
Задайте Record type на TXT.
В Value започнете внимателно с политика само за наблюдение, заградена в двойни кавички: "v=DMARC1; p=none; rua=mailto:[email protected]" Заменете адреса с пощенска кутия, която действително проверявате. Това кара доставчиците да ви изпращат обобщени отчети, без да променя начина, по който се обработва каквато и да е поща засега.
Оставете TTL по подразбиране.
Кликнете Create records.

Избор на политика (частта `p=`)

p=none — само наблюдение. Нищо не се блокира; просто получавате отчети. Започнете оттук.
p=quarantine — изпращайте неуспешна поща в спам/нежелана поща.
p=reject — отхвърляйте неуспешната поща напълно (най-силната защита).

Изпълнявайте p=none за няколко седмици, четете отчетите, за да потвърдите, че всичката ви легитимна поща преминава, след това преминете към quarantine и накрая към reject. Преминаването директно към reject, преди да сте проверили отчетите, рискува да блокирате собствения си легитимен имейл.

Грешки, които хората допускат в Route 53

Стойността трябва да е в двойни кавички. Route 53 очаква вие сами да въведете кавичките: "v=DMARC1; p=none; ...". Пропускането им е най-честата грешка в Route 53.
Record name е _dmarc, с долна черта. Честа грешка е пропускането на долната черта или въвеждането на _dmarc.yourdomain.com — в Route 53 въвеждате само _dmarc и зоната се добавя автоматично. Въвеждането на пълния домейн създава невалиден хост _dmarc.yourdomain.com.yourdomain.com, който никога не се проверява.
Само един DMARC запис. Като SPF, трябва да има единствен DMARC TXT запис на _dmarc. Ако вече съществува, редактирайте го вместо да добавяте втори.
Използвайте реална пощенска кутия за отчети. Адресът след rua=mailto: трябва да е такъв, който действително проверявате, иначе отчетите са безполезни. Може да е на същия домейн или на различен. (Ако насочвате отчетите към домейн, който не контролирате, той трябва да ги упълномощи — но за собствения ви домейн сте наред.)
Правилна хостирана зона, правилен акаунт. При няколко зони или AWS акаунта е лесно да редактирате грешната. Потвърдете, че четирите NS стойности на зоната съответстват на вашите активни nameserver-и.
Дайте му време. DNS промените могат да отнемат от няколко минути до няколко часа, преди да влязат в сила.

Проверете дали е сработило

След запазване и разпространение, стартирайте безплатната проверка на този сайт. Тя ще ви каже на разбираем език дали вашият DMARC запис е на място и каква политика сте задали.

Готово? Проверете домейна си безплатно за да потвърдите, че е проработило — и вижте пълната си оценка по всички 34 проверки.