วิธีใช้งาน
- ป้อนโดเมน หรือวางที่อยู่อีเมลลงไป (จะใช้โดเมนหลังเครื่องหมาย @โดยอัตโนมัติ)
- คลิก «ค้นหา» เพื่อดูผลลัพธ์ MX, SPF, DKIM และ DMARC หากไม่พบคีย์ DKIM ให้ป้อน selector แล้วค้นหาอีกครั้ง
- แก้ไขบันทึกที่ระบุไว้ในช่องการแก้ไข DNS ของผู้ให้บริการโดเมน แล้วตรวจสอบอีกครั้งเมื่อมีผล
คำอธิบายตัวเลือก
- SPF
- บันทึก TXT ที่รูตของโดเมน ขึ้นต้นด้วย v=spf1 ที่แสดงรายการเซิร์ฟเวอร์ที่อนุญาตให้ส่งเป็นโดเมน ต้องมีเพียงรายการเดียว
- DMARC
- บันทึก TXT ที่เซับโดเมน _dmarc ขึ้นต้นด้วย v=DMARC1 ที่บอกผู้รับว่าจะทำอย่างไรเมื่อการตรวจสอบ SPF และ DKIM ล้มเหลว
- จำนวนการค้นหา
- แต่ละ include, a, mx, ptr, exists และ redirect ใน SPF ต้องการการค้นหา DNS หนึ่งครั้ง ทั้งหมดต้องไม่เกิน 10 รายการ Include และ redirect จะขยายออกมา ดังนั้นการค้นหาแบบซ้อนจึงถูกนับด้วย
วิธีอ่าน record
SPF record คือรายการของเงื่อนไข แต่ละเงื่อนไขขึ้นต้นด้วยตัวกำหนดที่บอกว่าจะเกิดอะไรเมื่อตรงกัน (RFC 7208):
| ตัวกำหนด | ความหมาย | ตัวอย่าง |
|---|---|---|
+ (ค่าเริ่มต้น) |
ผ่าน | a หรือ +a |
- |
ไม่ผ่าน: ปฏิเสธ | -all |
~ |
Softfail: รับแต่ทำเครื่องหมาย | ~all |
? |
Neutral: ไม่ให้ข้อความใด | ?all |
ตัวตรวจรายงาน +all (หรือ all เปล่าๆ) ว่าอนุญาตให้ทุกเซิร์ฟเวอร์ส่งได้ ?all ว่าไม่ช่วยป้องกันการปลอมแปลงเลย และ record ที่ไม่มี all หรือ redirect= ว่ายังไม่สมบูรณ์ นอกจากนี้ยังเตือนเรื่องกลไก ptr และ SPF record ที่สอง
DMARC record คือชุดของคู่ tag=value คั่นด้วยอัฒภาค (RFC 7489):
v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s; pct=100| แท็ก | ความหมาย |
|---|---|
v |
เวอร์ชัน เป็น DMARC1 เสมอและอยู่ต้น record |
p |
นโยบายสำหรับโดเมน: none, quarantine หรือ reject |
sp |
นโยบายสำหรับ subdomain หากไม่มีจะใช้ p |
rua |
ที่ส่งรายงานรวม |
ruf |
ที่ส่งรายงานความล้มเหลว |
pct |
สัดส่วนของอีเมลที่ไม่ผ่านที่นโยบายใช้ 100 หากไม่มี |
adkim, aspf |
การจัดแนว DKIM และ SPF: r แบบผ่อนปรน (ค่าเริ่มต้น) หรือ s แบบเข้มงวด |
fo |
ตัวเลือกรายงานความล้มเหลว 0 หากไม่มี |
DMARC record ที่ไม่มี rua จะถูกชี้ เพราะคุณจะไม่ได้รับรายงาน ฝั่ง DKIM คีย์ RSA ที่สั้นกว่า 2048 บิตจะถูกชี้ว่าอ่อน และคีย์ที่ค่า p= ว่างจะแสดงว่าเพิกถอนแล้ว
คำถามที่พบบ่อย
SPF ควรลงท้ายด้วย ~all หรือ -all?
-all บอกผู้รับให้ปฏิเสธเซิร์ฟเวอร์ที่ไม่มีในรายการ ~all ทำเครื่องหมายว่าน่าสงสัย ให้ใช้ ~all จนกว่าจะแน่ใจว่ารายการสมบูรณ์ เมื่อใช้กับ DMARC ความแตกต่างจึงมีขนาดเล็กน้อย
ควรเริ่มต้นด้วยนโยบาย DMARC ใด?
เริ่มต้นด้วย p=none และที่อยู่ rua แล้วสังเกตรายงานสักหนึ่งหรือสองสัปดาห์เพื่อให้แน่ใจว่าผู้ส่งที่ถูกกฎหมายทั้งหมดผ่านการตรวจสอบ จากนั้นเปลี่ยนเป็น quarantine และสุดท้ายเป็น reject
ทำไมจึงไม่พบ DKIM?
คีย์ DKIM อยู่ที่ selector._domainkey.domain และ selector จะถูกเลือกโดยผู้ให้บริการอีเมล เครื่องมือนี้จะพยายามใช้ selector ทั่วไป เช่น default, selector1, selector2 และ google โดยอัตโนมัติ หากไม่พบ ให้หาค่า s= ในส่วนหัว DKIM-Signature ของข้อความแล้วป้อนเป็น selector DKIM
ความเป็นส่วนตัว
ไฟล์จะถูกอัปโหลดผ่าน HTTPS เพื่อประมวลผล และจะถูกลบโดยอัตโนมัติภายในหนึ่งชั่วโมง