הנעילה שכולם משבחים תלויה על דלת פתוחה

בערך תשע מעשר מדומיינים שפרסמו רשומת DMARC מוגדרת ל־p=none — המצב שמספר לעולם בדיוק מי מזייף אתכם ואז מנופף להם לעבור. הניתוח של Red Sift של העשור האחרון מציב אכיפת DMARC אמיתית בספרות יחידות לשנים, וגם המספרים האופטימיים של הספקים עדיין משאירים את הרוב המכריע של הרשומות ב־none.

הנה הבדיחה החבויה בתוך המילה הזו. DMARC — כמסולסל ב־RFC 7489 — הוא הדבר שקובע מה שרת דואר המקבל צריך לעשות כשהודעה הטוענת להיות מהדומיין שלכם נכשלת בבדיקות הבסיסיות. אלו הבדיקות SPF (האם השרת הזה מורשה לשלוח בשמכם?) ו־DKIM (האם ההודעה הזו חתומה בצורה קריפטוגרפית על ידכם?). DMARC יושב על גבי זה ומוציא פסק דין. p=none הוא פסק הדין שהוא לא כזה. הוא אומר: שימו לב להונאה, רשמו את ההונאה, שלחו לי דוח על ההונאה — והעבירו את זה בכל זאת.

גלאי עשן שהסוללה שלו נשלפה עדיין תלוי על התקרה. זה נראה כמו הגנה. זה נראה כמו הגנה בצילומים. פשוט הוא לא מצפצף כשהמטבח בוער.

שתי הגדרות שבאמת נושכות הן p=quarantine, שדוחפת דואר כושל לספאם, ו־p=reject, שאומרת למקבל להחזיר את זה לפני שהוא נוחת. זה כל המשחק. מנוכל שזיוף billing@yourbank.example נתקל בקיר רק אם הבנק הזה פרסם reject. אם הבנק פרסם none — וברובו עשה — הזיוף חודר לתיבה בדיוק כמו הדבר האמיתי, כולל הלוגו האמיתי שנשלף ישר מהאתר האמיתי.

למה כולם עוצרים ב־none? כי none הוא הצעד הראשון הבטוח, ולצעדים ראשונים בטוחים יש דרך להיות הכתובת הקבועה. אתם אמורים להתחיל שם, לקרוא את הדוחות, למצוא כל שירות לגיטימי שמשדר בשמכם — ספק השכר, פלטפורמת השיווק, כלי הכרטוסים שלא מישהו תיעד — לקבל את כולם חתומים בצורה נכונה, ואז להדק ל־reject. ההנעה האחרונה הזו היא המפחידה. החלף ל־reject עם שולח לא מאומת שעוד בחוץ וביולי נושר לך הודעות חשבוניות שלך. כך שצוויות מפרסמות את הרשומה, אומרות למעבר שזה מטופל, ולעולם לא חוזרות להשלים. דברי הדוח הם ערימה ללא קריאה. הסוללה נשארת בחוץ.

הקורבן הוא אתה, האדם שקורא את ההודעה. כשמותג שאתה סומך עליו משאיר את DMARC ב־none, "זה הגיע מהדומיין האמיתי שלהם" מפסיק לפירושו כלום, כי הזיוף של פושע עובר את אותו מבחן של עיניים. זה בדיוק הפער שאנחנו צופים בקצה הקבלה ב־xmail: הודעה יכולה להיכשל בהזדהות קר ועדיין להגיע מלובשת כחברת השירותים שלך, כי חברת השירותים לעולם לא אמרה לאינטרנט לדחות את ההתחזויות.

אז הנה מבחן שאתה יכול להריץ בכחמש עשרה שניות בערך. קח כל מותג שהפחיד אותך עם דוא"ל "פעילות חשודה" — הוצא חיפוש DMARC ציבורי והדבק את הדומיין שלהם. אם המדיניות קוראת p=none, החברה הזו שואלת מקבלים לשימו לב להתחזות ולא לעשות שום דבר בנוגע לזה. מיליוני דומיינים משדרים את הבקשה הזו בשקט כל יום.

התיקון הוא לא יותר טכנולוגיה. זה הלחץ לשנות מילה אחת מ־none ל־reject. האזעקה כבר רואה את העשן. מישהו פשוט צריך להחזיר את הסוללה פנימה.