Office 365 में DMARC को सही तरीके से कैसे सेट अप करें

फरवरी 2024 से, जीमेल की बल्क सेंडर आवश्यकताओं के अनुसार, 100 से अधिक ईमेल भेजने वाले प्रत्येक डोमेन के लिए एक प्रकाशित DMARC रिकॉर्ड अनिवार्य है। 5,000 ईमेल जीमेल उपयोगकर्ताओं से प्रतिदिन शुल्क लिया जाता है। याहू भी अपने नियमों के तहत यही नियम लागू करता है। प्रेषक के सर्वोत्तम अभ्यास। के रूप में मई 2025माइक्रोसॉफ्ट ने आउटलुक, हॉटमेल और लाइव मेलबॉक्स में अधिक मात्रा में ईमेल भेजने वालों से आने वाले नियमों का पालन न करने वाले ईमेल को अस्वीकार करना शुरू कर दिया है।

DMARC अब बड़े पैमाने पर संचालित होने वाले किसी भी Microsoft 365 टेनेंट के लिए वैकल्पिक से अनिवार्य हो गया है, और वर्तमान ईमेल स्पैम के आँकड़े कारण स्पष्ट करें: सेवा प्रदाता प्रमाणीकरण नियमों को सख्त कर रहे हैं क्योंकि अप्रमाणित मेल प्रेषक और प्राप्तकर्ता दोनों के लिए जोखिम पैदा करता है।

इसलिए यह जानना महत्वपूर्ण है कि ऑफिस 365 में DMARC को सही तरीके से कैसे सेट अप किया जाए, जिसमें पूर्वापेक्षाओं की पुष्टि करने और अपना रिकॉर्ड बनाने से लेकर इसे DNS में प्रकाशित करने, एक सुरक्षित प्रारंभिक नीति चुनने, यह सत्यापित करने कि यह काम करता है, और वैध मेल को अवरुद्ध किए बिना पूर्ण प्रवर्तन की ओर बढ़ने तक सब कुछ शामिल है।

Office 365 में DMARC सेटअप करने से पहले आवश्यक शर्तें

DMARC एक स्वतंत्र प्रोटोकॉल नहीं है। यह एक पॉलिसी लेयर है जो इसके ऊपर काम करती है। एसपीएफ और डीकेआईएम यह मेल प्राप्त करने वाले सर्वरों को बताता है कि उन जाँचों के विफल होने पर क्या करना है। यदि SPF या DKIM गलत तरीके से कॉन्फ़िगर किए गए हैं या संरेखित नहीं हैं, तो p=none से आगे बढ़ते ही DMARC प्रवर्तन उस गलत संरेखण पर कार्रवाई करना शुरू कर देगा।

अपना डीएमएआरसी रिकॉर्ड प्रकाशित करने से पहले नीचे दी गई सभी चार पूर्वापेक्षाओं की पुष्टि करें:

• एसपीएफ रिकॉर्ड प्रकाशित हो गया है और परिणाम उत्तीर्ण है: Microsoft 365 टेनेंट्स के लिए, SPF रिकॉर्ड में include:spf.protection.outlook.com के साथ-साथ आपके डोमेन की ओर से भेजने वाले किसी भी अतिरिक्त तृतीय-पक्ष प्रेषक (SendGrid, Mailchimp, HubSpot, आदि) को शामिल करना आवश्यक है।
• प्रत्येक कस्टम डोमेन के लिए DKIM हस्ताक्षर सक्षम किया गया है: Microsoft 365 कस्टम डोमेन के लिए DKIM को स्वचालित रूप से सक्षम नहीं करता है। Microsoft Defender पोर्टल खोलें, ईमेल और सहयोग → नीतियां और नियम → खतरे की नीतियां के अंतर्गत DKIM पृष्ठ पर जाएं और पुष्टि करें कि कस्टम डोमेन के लिए हस्ताक्षर चालू है।
• वैश्विक प्रशासक या सुरक्षा प्रशासक पहुंच डिफेंडर पोर्टल के भीतर किसी भी सत्यापन चरण के लिए माइक्रोसॉफ्ट 365 टेनेंट पर जाएं।
• कस्टम डोमेन के लिए DNS एक्सेस अपने DNS होस्ट के कंट्रोल पैनल में _dmarc.yourdomain.com पर DMARC TXT रिकॉर्ड प्रकाशित करें।

Office 365 में DMARC कैसे सेट करें: चरण दर चरण

नीचे दिए गए पांच चरणों में 10-15 मिनट का सक्रिय कार्य लगता है, साथ ही DNS प्रसार का समय भी लगता है (आपके DNS प्रदाता और TTL सेटिंग्स के आधार पर कुछ मिनटों से लेकर 48 घंटे तक)।

DMARC सेटअप पूरी तरह से DNS में होता है, Microsoft Defender पोर्टल में नहीं। Microsoft 365 Exchange Online Protection के माध्यम से इनबाउंड DMARC जांच को स्वचालित रूप से संभालता है, लेकिन आपके कस्टम डोमेन पर आउटबाउंड DMARC को कॉन्फ़िगर करने के लिए Defender पोर्टल में कोई सेटिंग नहीं है। वह रिकॉर्ड आपके DNS ज़ोन में रहता है।

चरण 1: सुनिश्चित करें कि एसपीएफ और डीकेआईएम काम कर रहे हैं

अपने कस्टम डोमेन से किसी बाहरी जीमेल या याहू ईमेल पते पर एक टेस्ट ईमेल भेजें। ईमेल खोलें और पूरे संदेश के हेडर देखें (जीमेल में: तीन-डॉट मेनू → "मूल दिखाएँ")।

Authentication-Results हेडर में, इसकी पुष्टि करें:

• spf=pass — SPF अधिकृत है और पास हो रहा है
• dkim=pass — DKIM सही ढंग से हस्ताक्षर कर रहा है, और हस्ताक्षर सत्यापित हो गया है।

यदि दोनों में से कोई भी विफल या तटस्थ दिखाता है, तो यहीं रुकें और पहले प्रमाणीकरण समस्या को ठीक करें। विफल SPF या DKIM पर DMARC रिकॉर्ड प्रकाशित करने से वैध ईमेल को क्वारंटाइन कर दिया जाएगा या अस्वीकार कर दिया जाएगा जैसे ही आप नीति को p=none से आगे बढ़ाते हैं।

चरण 2: प्रारंभिक DMARC नीति का निर्धारण करें

हर नए DMARC डिप्लॉयमेंट के लिए p=none से शुरुआत करें। यह पॉलिसी ईमेल डिलीवरी को प्रभावित किए बिना DMARC एग्रीगेट रिपोर्ट एकत्र करती है। असफल संदेश डिलीवर तो हो जाते हैं, लेकिन प्राप्त करने वाले मेल सर्वर प्रमाणीकरण परिणाम आपके rua= टैग में निर्दिष्ट पते पर वापस भेज देते हैं। यह डेटा आपको बताता है कि प्रवर्तन शुरू होने से पहले कौन से भेजने वाले स्रोत संरेखित हैं और कौन से नहीं।

DMARC लागू होने के दौरान वैध ईमेल खो जाने का सबसे आम कारण सीधे p=quarantine या p=reject पर जाना है। यदि कोई तृतीय-पक्ष प्रेषण प्लेटफ़ॉर्म अभी तक DMARC के अनुरूप नहीं है, तो एक सख्त नीति उस स्रोत से आने वाले वास्तविक ईमेल को तुरंत क्वारंटाइन कर देगी या वापस भेज देगी। p=none चरण विशेष रूप से इसे रोकने के लिए बनाया गया है।

चरण 3: DMARC रिकॉर्ड बनाएं

किसी नए डिप्लॉयमेंट के लिए बेसिक DMARC रिकॉर्ड कुछ इस तरह दिखता है:

v=DMARC1; p=कोई नहीं; rua=mailto:[ईमेल संरक्षित]प्रतिशत=100;

यहां प्रत्येक टैग का अर्थ बताया गया है:

• v=DMARC1 — प्रोटोकॉल संस्करण। प्रत्येक DMARC रिकॉर्ड में पहले टैग के रूप में आवश्यक।
• पी=कोई नहीं — यह नीति उन संदेशों पर लागू होती है जो DMARC संरेखण में विफल होते हैं। शुरुआत में कोई नीति लागू नहीं होती, फिर संरेखण स्थिर होने पर धीरे-धीरे क्वारंटाइन और अस्वीकृति की ओर बढ़ती है।
• rua=mailto:address — वह मेलबॉक्स जहाँ समग्र रिपोर्ट भेजी जाती हैं। एक समर्पित मेलबॉक्स का उपयोग करें जैसे कि [ईमेल संरक्षित]या फिर यदि आप डैशबोर्ड दृश्य पसंद करते हैं तो रिपोर्ट को किसी तृतीय-पक्ष डीएमएआरसी विश्लेषक को भेजें।
• प्रतिशत = 100 — यह नीति असफल संदेशों के प्रतिशत को दर्शाती है। इसे शुरुआत से ही 100 पर सेट करें। आधुनिक DMARC कार्यान्वयन में क्रमिक प्रतिशत कार्यान्वयन की शायद ही कभी आवश्यकता होती है और इससे अनावश्यक जटिलता बढ़ जाती है।

संपूर्ण टैग संदर्भ के लिए, जिसमें ruf (फोरेंसिक रिपोर्ट), sp (सबडोमेन नीति), adkim और aspf जैसे वैकल्पिक टैग शामिल हैं, देखें डीएमएआरसी.ओआरजीइसके आधिकारिक प्रोटोकॉल दस्तावेज़।

चरण 4: DNS में DMARC रिकॉर्ड प्रकाशित करें

अपने डोमेन के DNS प्रदाता में लॉग इन करें। निम्नलिखित मानों के साथ एक नया TXT रिकॉर्ड बनाएं:

• मेज़बान / नाम: _dmarc (कुछ प्रदाता _dmarc.yourdomain.com मांगते हैं; DNS UI द्वारा आवश्यक जानकारी को हूबहू दर्ज करें)
• मूल्य / सामग्री: चरण 3 में निर्मित संपूर्ण DMARC रिकॉर्ड, ठीक उसी प्रकार जैसा लिखा गया है।
• टीटीएल: 3600 (एक घंटा) मानक मान है; परीक्षण के दौरान कम मान तेजी से फैलते हैं।

रिकॉर्ड को सुरक्षित रखें। DNS प्रसार प्रक्रिया आमतौर पर कुछ घंटों में पूरी हो जाती है, लेकिन इसमें 48 घंटे तक लग सकते हैं। इस दौरान, हो सकता है कि रिकॉर्ड सभी रिजॉल्वर से लगातार दिखाई न दे।

चरण 5: DMARC रिकॉर्ड की सक्रियता सत्यापित करें

रिकॉर्ड प्रसारित हो जाने के बाद, इसे दो तरीकों से सत्यापित करें:

• DNS लुकअप: MXToolbox के DMARC लुकअप टूल पर जाएं, अपना डोमेन दर्ज करें और पुष्टि करें कि रिकॉर्ड सही ढंग से पार्स किया गया है और मान्य है। यदि लुकअप विफल हो जाता है या कोई त्रुटि दिखाता है, तो अपने DNS रिकॉर्ड के फ़ॉर्मेट की जांच करें, क्योंकि आमतौर पर अर्धविराम का न होना या गलत होस्ट नाम इसका कारण होता है।
• प्रमाणीकरण हेडर की जाँच: अपने कस्टम डोमेन से जीमेल, याहू या किसी बाहरी आउटलुक पते पर एक और टेस्ट ईमेल भेजें। ईमेल के सभी हेडर खोलें और पुष्टि करें कि अब ऑथेंटिकेशन-रिजल्ट सेक्शन में भेजने वाले डोमेन के लिए dmarc=pass दिख रहा है।

रिकॉर्ड के लाइव होने के 24-72 घंटों के भीतर DMARC एग्रीगेट रिपोर्ट rua= मेलबॉक्स में आनी शुरू हो जाती हैं। किसी भी सख्त नीति पर विचार करने से पहले पहले बैच की सावधानीपूर्वक समीक्षा करें।

DMARC नीति विकल्पों को समझना: कोई नहीं, क्वारंटाइन और अस्वीकार

हर सफल DMARC डिप्लॉयमेंट में हफ़्तों या महीनों का समय लगता है और यह पॉलिसी के तीनों चरणों से गुज़रता है। चरणों को छोड़ देने से वैध मेल के अस्वीकार होने का जोखिम रहता है, इससे पहले कि सभी भेजने वाले स्रोत ठीक से संरेखित हों। चरणबद्ध दृष्टिकोण मेल प्रवाह की सुरक्षा करते हुए पूर्ण प्रवर्तन की ओर बढ़ने का तरीका है।

निगरानी मोड: p=कोई नहीं

v=DMARC1; p=कोई नहीं; rua=mailto:[ईमेल संरक्षित]प्रतिशत=100;

p=none होने पर, मेल प्राप्त करने वाले सर्वर DMARC परिणाम एकत्र करते हैं और उन्हें आपके rua= पते पर वापस भेज देते हैं, लेकिन असफल संदेश सामान्य रूप से वितरित हो जाते हैं। कुछ भी क्वारंटाइन या अस्वीकार नहीं किया जाता है।

कम से कम 2-4 सप्ताह तक p=none सेटिंग में रहें। इस दौरान समग्र रिपोर्ट पढ़ें और सुनिश्चित करें कि Microsoft 365, मार्केटिंग प्लेटफॉर्म, ट्रांजैक्शनल सेंडर और CRM जैसे सभी वैध सेंडिंग सोर्स DMARC अलाइनमेंट को पास कर रहे हैं। पॉलिसी को सख्त करने से पहले किसी भी सोर्स में पाई गई कमियों को ठीक करना आवश्यक है।

p=quarantine पर तभी जाएं जब रिपोर्ट लगातार कई रिपोर्टिंग चक्रों में सभी वैध प्रेषकों के लिए 95% से अधिक उत्तीर्ण दर दर्शाती हो।

नरम प्रवर्तन: p=क्वारंटाइन

v=DMARC1; p=क्वारंटाइन; rua=मेलटू:[ईमेल संरक्षित]प्रतिशत=100;

p=quarantine सेटिंग में, ईमेल प्राप्त करने वाले सर्वर असफल संदेशों को इनबॉक्स के बजाय स्पैम या जंक फ़ोल्डर में भेज देते हैं। वैध लेकिन असंबद्ध ईमेल भी पहुँच जाते हैं, बस एक ऐसी जगह पर जहाँ प्राप्तकर्ताओं के उन्हें देखने की संभावना कम होती है।

यह नीति चरण एक उपयोगी मध्यवर्ती जाँच बिंदु है। यह p=reject द्वारा उत्पन्न होने वाले कठोर बाउंस के बिना गलत पते पर भेजे गए मेल के लिए परिणाम लागू करता है। अगले 2-4 हफ्तों तक यहीं रहें और किसी भी वैध मेल के गलत रूट होने की रिपोर्ट पर बारीकी से नज़र रखें।

p=reject विकल्प का उपयोग तभी करें जब DMARC रिपोर्ट सभी स्रोतों में सुसंगत संरेखण की पुष्टि करती हो और कोई भी वैध मेल क्वारंटाइन न किया जा रहा हो।

पूर्ण प्रवर्तन: p=अस्वीकार

v=DMARC1; पी=अस्वीकार; रुआ=मेलटू:[ईमेल संरक्षित]प्रतिशत=100;

p=reject विकल्प के साथ, प्राप्त करने वाले मेल सर्वर DMARC संरेखण में विफल रहने वाले संदेशों को सीधे अस्वीकार कर देते हैं। विफल संदेश प्रेषक को वापस भेज दिए जाते हैं; वे प्राप्तकर्ता तक बिल्कुल नहीं पहुँचते।

यही हर DMARC कार्यान्वयन का लक्ष्य है। पूर्ण p=reject प्रवर्तन डोमेन स्पूफिंग के खिलाफ पूर्ण सुरक्षा प्रदान करता है और उच्च मात्रा में डेटा भेजने वालों के लिए Gmail, Yahoo और Microsoft की आवश्यकताओं को पूरा करता है। यह आपके डेटा की भी सुरक्षा करता है। डोमेन और आईपी प्रतिष्ठा अनधिकृत प्रेषकों को आपके डोमेन नाम का उपयोग करके मेल भेजने से रोककर।

p=reject पर DMARC रिपोर्ट की निगरानी जारी रखें। नए विक्रेता, मार्केटिंग टूल और इंटीग्रेशन सहित नए भेजने वाले स्रोत अभी भी संरेखण विफलताओं का कारण बन सकते हैं और लाइव होने से पहले प्रमाणीकरण के साथ उन्हें ऑनबोर्ड किया जाना चाहिए।

Office 365 में DMARC सेटअप से संबंधित सामान्य त्रुटियाँ और उन्हें ठीक करने के तरीके

Microsoft 365 वातावरण में DMARC की अधिकांश विफलताएँ प्रोटोकॉल त्रुटियों के बजाय संरेखण समस्याओं के कारण होती हैं। इसका अर्थ है कि रिकॉर्ड तकनीकी रूप से मान्य है, लेकिन भेजा जा रहा ईमेल DKIM हस्ताक्षर डोमेन या SPF-अधिकृत IP पतों के साथ संरेखित नहीं होता है।

DMARC रिपोर्ट खाली हैं

निदान: rua= मेलबॉक्स का पता गलत है, मेलबॉक्स आने वाली रिपोर्टों को अवरुद्ध कर रहा है, या डोमेन प्रमुख प्रदाताओं के लिए पर्याप्त मात्रा में डेटा नहीं भेज रहा है जिससे अभी तक रिपोर्ट तैयार हो सकें।

फिक्स: पुष्टि करें कि rua= मेलबॉक्स मौजूद है, बाहरी ईमेल स्वीकार करता है, और किसी आक्रामक स्पैम नियम द्वारा फ़िल्टर नहीं किया जा रहा है। डोमेन से जीमेल और याहू पतों पर कुछ परीक्षण ईमेल भेजें; यदि DMARC सही ढंग से कॉन्फ़िगर किया गया है, तो ये प्रदाता आमतौर पर 24-48 घंटों के भीतर रिपोर्ट तैयार कर देते हैं।

वैध ईमेल को क्वारंटाइन किया जा रहा है या अस्वीकार किया जा रहा है।

निदान: किसी तृतीय-पक्ष प्रेषण प्लेटफ़ॉर्म में समस्या आ रही है। इसका सबसे आम कारण यह है कि कोई मार्केटिंग टूल, CRM या ट्रांज़ैक्शनल ईमेल प्रदाता SPF में शामिल नहीं किया गया है या कस्टम डोमेन के लिए DKIM के साथ हस्ताक्षर करने के लिए कॉन्फ़िगर नहीं किया गया है।

फिक्स: DMARC एग्रीगेट रिपोर्ट की समीक्षा करके पता लगाएं कि कौन सा स्रोत विफल हो रहा है। या तो उस स्रोत को अपने SPF रिकॉर्ड में जोड़ें (include:thirdparty.com), उसके प्लेटफ़ॉर्म सेटिंग्स के माध्यम से उस स्रोत के लिए DKIM साइनिंग कॉन्फ़िगर करें, या अलाइनमेंट ठीक होने तक अस्थायी रूप से p=none पर वापस जाएं। जब तक ज्ञात स्रोत विफल हो रहे हों, तब तक पॉलिसी को कभी भी p=reject पर न छोड़ें।

अग्रेषण के बाद DMARC संरेखण विफलताएँ

निदान: फ़ॉरवर्ड किए गए ईमेल अक्सर SPF अलाइनमेंट को तोड़ देते हैं क्योंकि फ़ॉरवर्डिंग सर्वर का IP एड्रेस मूल प्रेषक के SPF रिकॉर्ड में नहीं होता है। DKIM आमतौर पर फ़ॉरवर्डिंग के दौरान बरकरार रहता है, इसलिए यह स्थिति अक्सर केवल DKIM अलाइनमेंट का मामला बन जाती है।

फिक्स: सुनिश्चित करें कि मूल प्रेषक के लिए DKIM सही ढंग से हस्ताक्षर कर रहा है। DKIM-अनुरूप मेल DMARC से पास हो जाता है, भले ही फ़ॉरवर्डिंग के कारण SPF विफल हो जाए। यदि फ़ॉरवर्डिंग के बाद भी DKIM विफल हो रहा है, तो फ़ॉरवर्डिंग सिस्टम संदेश की सामग्री को संशोधित कर रहा है और DKIM हस्ताक्षर को तोड़ रहा है। इस स्थिति को हल करने के लिए आमतौर पर फ़ॉरवर्डिंग सर्वर से ARC (प्रमाणित प्राप्त श्रृंखला) समर्थन की आवश्यकता होती है।

DMARC रिकॉर्ड प्रारूप त्रुटियाँ

निदान: DMARC TXT रिकॉर्ड में टाइपिंग की गलतियाँ पूरी पॉलिसी को अमान्य कर सकती हैं। आम समस्याओं में v=DMARC1 उपसर्ग का न होना, टैग के बीच अर्धविराम का न होना, या रिकॉर्ड का कई DNS प्रविष्टियों में गलत तरीके से विभाजित होना शामिल हैं।

फिक्स: प्रकाशित रिकॉर्ड को MXToolbox के DMARC वैलिडेटर से चलाकर देखें और पुष्टि करें कि यह पार्स किया हुआ और मान्य है। यह भी जांचें कि रिकॉर्ड _dmarc.yourdomain.com के अंतर्गत एक ही TXT फ़ाइल के रूप में मौजूद है, दो अलग-अलग रिकॉर्ड में विभाजित नहीं है, और प्रत्येक टैग अर्धविराम से अलग किया गया है।

सही तरीके से लागू किया गया DMARC आपके डोमेन की सुरक्षा करता है

सही क्रम में चरणों का पालन करने पर DMARC सेटअप करना आसान हो जाता है। SPF और DKIM को सत्यापित करें, रिकॉर्ड बनाएं, इसे DNS में प्रकाशित करें, प्रत्येक नीति चरण में धीरे-धीरे आगे बढ़ें, रिपोर्ट पढ़ने और प्रवर्तन को सख्त करने से पहले संरेखण संबंधी समस्याओं को ठीक करने के लिए पर्याप्त समय लें।

क्योंकि DMARC ईमेल प्रमाणीकरण की अंतिम परत है, इसलिए यह पहले SPF और DKIM के सही ढंग से काम करने पर निर्भर करता है। यदि ये रिकॉर्ड गलत तरीके से कॉन्फ़िगर किए गए हैं या संरेखित नहीं हैं, तो DMARC डोमेन को नकली ईमेल से बचाने के बजाय वैध ईमेल को अवरुद्ध कर सकता है।

हालाँकि, प्रमाणीकरण हर डिलीवरेबिलिटी समस्या का समाधान नहीं करता है। एक विधिवत प्रमाणित डोमेन, अमान्य, डिस्पोजेबल या निष्क्रिय पतों से भरी सूची में भी हार्ड बाउंस उत्पन्न करेगा, और ये बाउंस आपके व्यवसाय को प्रभावित करते हैं। ईमेल प्रेषक की प्रतिष्ठा आपका डीएमएआरसी रिकॉर्ड कितना भी साफ क्यों न हो।

अपने अगले अभियान से पहले, अपनी सूची को DeBounce पर अपलोड करें और एक पूर्ण सत्यापन प्रक्रिया चलाएँ। ईमेल सूची सत्यापनप्रमाणीकरण से यह पुष्टि होती है कि ईमेल आपके द्वारा भेजा गया है, जबकि लिस्ट हाइजीन से यह पुष्टि होती है कि ईमेल सही पते पर जा रहा है। ये दोनों ही आवश्यक हैं ताकि प्रत्येक अभियान के इनबॉक्स तक पहुंचने की संभावना बढ़ जाए।