En una situación muy similar en este momento,
Basado en varias semanas de implementación de DMARC:
Conozca sus flujos de correo y qué servidores de correo envían correo desde su entorno o en su nombre. Comience por actualizar sus registros SPF y recuerde que todos los dominios Y subdominios deben tener sus propios registros SPF.
-
SPF aún puede fallar debido a varias razones (usuarios móviles, remailers, etc.) Mi opinión es que la forma de evitar esto en el corto plazo es comenzar a firmar DKIM lo antes posible para su dominio principal Y sus subdominios.
-
En caso de que esté trabajando con terceros, haga que canalicen sus flujos de correo a través de sus propios servidores de correo, o póngase en contacto con ellos para asegurarse de que son lo suficientemente expertos en DKIM y construya un proceso para rotar regularmente DKIM clave pública (s) en su DNS.
-
Sea paciente con el ajuste de su política (también había planeado seguir el avance de Google). Vale la pena tomarse el tiempo para profundizar en los informes de DMARC y comprender por qué falló exactamente SPF / DKIM / DMARC. En muchos casos, estas son parodias reales. Podría descubrir flujos de correo de los que ni siquiera estaba al tanto. Use analizadores de código abierto para visualizar sus informes o enviarlos a algún sistema de administración de registros para facilitar el análisis. O externalizar el análisis.
-
Recuerde aplicar también la verificación DMARC entrante. Deje que todo pase en una primera fase, luego aplique progresivamente la política del remitente. Usted podría por ejemplo ponga en cuarentena los correos que deben rechazarse, luego rechácelos.
Existe un elemento de riesgo en la aplicación de DMARC o la publicación de una política de DMARC que no sea p = ninguno, pero los informes realmente le dan MUCHA información y permiten una implementación controlada. Es esencial conocer sus flujos de correo y quién los administra. Además, test test test tanto como sea posible con flujos de correo ficticios (¡netcat es tu amigo)!
Finalmente, recuerda que AOL et al. solo le enviaremos los resultados de la comprobación de DMARC de los correos enviados desde su dominio (o alguien que lo falsifique) Entonces, si una prueba está marcada como fallida, indica un problema de su lado, no de ellos :)
HTH,