Překonání politiky (DMARC)

Co je překonání politiky (Policy Override) v DMARC?

K překonání politiky v DMARC dochází, když přijímající poštovní server uplatní konečné nakládání (například doručit, umístit do karantény nebo odmítnout), které se liší od publikované politiky DMARC odesílatele. Stává se to, když jiné faktory, jako jsou lokální pravidla filtrování, chování při přeposílání nebo seznamy důvěryhodných odesílatelů, dostanou přednost před doporučením DMARC. Překonání politiky se zaznamenává v souhrnných reportech DMARC, aby vlastníci domény pochopili, kdy a proč se nakládání s poštou odchyluje od deklarované politiky.

Jinými slovy, i když DMARC záznam domény určuje, že neověřená pošta má být odmítnuta, přijímající server ji za určitých podmínek přesto může přijmout. Pole „Policy Override“ v reportech DMARC tyto případy dokumentuje a pomáhá odesílatelům vidět, kdy nebylo vynucování uplatněno podle očekávání.

Jak překonání politiky funguje

Když e-mail selže ve sladění SPF i ve sladění DKIM, DMARC příjemci sděluje, jak se zprávou naložit, obvykle prostřednictvím parametru p= v DMARC záznamu (none, quarantine nebo reject). Příjemce ovšem může tuto instrukci přepsat na základě vlastních pravidel, uživatelských preferencí nebo systémových politik. Důvody těchto rozhodnutí jsou uvedeny v prvku „policy_override“ souhrnných reportů DMARC.

Příklad výňatku z reportu DMARC zobrazujícího překonání politiky:

V tomto příkladu zpráva selhala v SPF i DKIM, ale příjemce ji přesto zvolil doručit (disposition „none“) kvůli lokálnímu překonání politiky.

Běžné typy překonání politiky DMARC

V reportování DMARC je rozpoznáno několik typů překonání. Tyto hodnoty pomáhají vlastníkům domény pochopit, jak s jejich zprávami nakládají různé poštovní systémy:

• forwarded – Zpráva byla přeposlána a ověření selhalo kvůli změnám v hlavičkách nebo obsahu zprávy.
• sampled_out – Zpráva byla součástí PCT (procentuální) vzorkovací politiky a byla vyňata z plného vynucování. Toto překonání je nyní zastaralé, protože DMARCbis parametr pct odstranil.
• trusted_forwarder – Příjemce důvěřuje přeposílajícímu (např. mezilehlému poštovnímu relay nebo známé službě) a zprávu doručil navzdory selhání ověření.
• local_policy – Příjemce uplatnil interní politiku, která přepíše instrukci DMARC, například whitelist nebo antispamové rozhodnutí.
• arc – Zpráva obsahovala platnou hlavičku ARC (Authenticated Received Chain), která zachovala ověření přes přeposlání.
• other – Důvod překonání neodpovídá standardním kategoriím.

Každá z těchto podmínek překonání pomáhá vysvětlit, proč se neověřená pošta může přesto dostat do schránky, a to i při přísném vynucování DMARC. Tato informace je klíčová pro diagnostiku mezer v toku pošty, zejména u přeposílaných nebo nepřímých zpráv.

Proč k překonání politiky dochází

Překonání politiky obvykle odráží flexibilitu poštovních systémů příjemce, nikoli chybné nastavení na straně odesílatele. Mezi běžné scénáře patří:

• Přeposílání přes konferenční seznamy nebo automatizované systémy, které zprávy upravují
• Důvěryhodní zprostředkovatelé, kteří obcházejí kontroly DMARC
• Lokální spamové nebo phishingové filtry mají přednost před politikou DMARC
• Částečné vynucování DMARC při použití pct<100, což je zastaralé nastavení, které příjemci podle DMARCbis považují za pct=100
• Preference příjemce umožňující doručení od známých odesílatelů navzdory selháním

Překonání nutně neznamená, že je nastavení DMARC chybné, ale časté výskyty mohou naznačovat problémy se sladěním, potíže s přeposíláním nebo nekonzistentní podpisy DKIM.

Překonání politiky a DMARCeye

DMARCeye vizualizuje data o překonání politiky přímo ze souhrnných reportů DMARC a pomáhá organizacím identifikovat vzorce a pochopit, proč se výsledky vynucování u jednotlivých příjemců liší. Platforma kategorizuje překonání podle typu, jako je forwarded, arc nebo local_policy, a koreluje je se zdroji odesílání, aby přesně určila, kde ověřování selhává.

Zvýrazněním četnosti a dopadu překonání umožňuje DMARCeye vlastníkům domény upravit nastavení ověřování, optimalizovat propagaci klíčů DKIM a zajistit, aby legitimní zprávy nebyly chybně odmítnuty nebo umístěny do karantény. Tato přehlednost dává administrátorům jistotu, že jejich vynucování DMARC odpovídá skutečnému chování při doručování.

Vyzkoušejte DMARCeye zdarma a zabezpečte svou e-mailovou doménu.

Chcete-li se dozvědět více o DMARC a souvisejících pojmech, prozkoumejte Slovník pojmů DMARCeye.