SPF, DKIM, और DMARC: संपूर्ण ईमेल ऑथेंटिकेशन गाइड

ईमेल ऑथेंटिकेशन भरोसेमंद ईमेल डिलीवरी की नींव है। सही SPF, DKIM, और DMARC कॉन्फ़िगरेशन के बिना, आपके सावधानी से बनाए गए ईमेल्स कभी आपके कस्टमर्स के इनबॉक्स तक नहीं पहुंच सकते। इसके बजाय, वे स्पैम फोल्डर में चले जाते हैं या पूरी तरह रिजेक्ट हो जाते हैं।

यह व्यापक गाइड बताती है कि हर ईमेल ऑथेंटिकेशन प्रोटोकॉल क्या करता है, स्टेप-बाय-स्टेप DNS सेटअप निर्देश देती है, सामान्य समस्याओं की ट्रबलशूटिंग कवर करती है, और दिखाती है कि आप कैसे वेरिफाई करें कि आपका कॉन्फ़िगरेशन सही तरीके से काम कर रहा है।

ईमेल ऑथेंटिकेशन क्यों मायने रखता है

ईमेल एक ऐसे युग में डिज़ाइन किया गया था जब सिक्योरिटी प्राथमिक चिंता नहीं थी। ओरिजिनल SMTP प्रोटोकॉल में यह पुष्टि करने के लिए कोई बिल्ट-इन वेरिफिकेशन मैकेनिज़्म नहीं है कि कोई ईमेल वास्तव में उसी से आया है जो होने का दावा करता है। यह बुनियादी कमज़ोरी ईमेल स्पूफिंग, फिशिंग अटैक्स, और स्पैम को संभव बनाती है।

ईमेल ऑथेंटिकेशन प्रोटोकॉल्स डोमेन ओनर्स को यह तय करने की अनुमति देकर इस समस्या को हल करते हैं:

• कौन से सर्वर्स उनकी ओर से ईमेल भेज सकते हैं (SPF)
• क्रिप्टोग्राफिक प्रूफ कि मैसेजेस असली और अनमॉडिफाइड हैं (DKIM)
• ऑथेंटिकेशन में फेल होने वाले मैसेजेस के साथ क्या करना है (DMARC)

खराब ऑथेंटिकेशन का बिज़नेस इम्पैक्ट

सही ईमेल ऑथेंटिकेशन के बिना:

• कम डिलिवरेबिलिटी: Gmail, Microsoft, और Yahoo जैसे बड़े प्रोवाइडर्स अनऑथेंटिकेटेड ईमेल्स को ज़्यादा आक्रामक तरीके से फ़िल्टर करते हैं
• ज़्यादा स्पैम रेट्स: आपके वैध ईमेल्स आपके डोमेन का उपयोग करने वाले स्पूफ्ड मैसेजेस से मुकाबला करते हैं
• ब्रांड डैमेज: आपके ब्रांड की नकल करने वाले फिशिंग अटैक्स कस्टमर ट्रस्ट को नुकसान पहुंचाते हैं
• रेवेन्यू लॉस: मार्केटिंग कैम्पेन्स उन सब्सक्राइबर्स तक नहीं पहुंच पाते जिन्होंने उन्हें पाने के लिए साइन अप किया था
• कंप्लायंस रिस्क: कई रेगुलेशंस अब सही ईमेल ऑथेंटिकेशन की मांग करते हैं

ऑथेंटिकेशन ट्रायड

SPF, DKIM, और DMARC एक संपूर्ण ऑथेंटिकेशन सिस्टम के रूप में साथ काम करते हैं:

हर प्रोटोकॉल अलग-अलग अटैक वेक्टर्स को एड्रेस करता है। SPF अनऑथराइज़्ड सर्वर्स को आपके रूप में भेजने से रोकता है। DKIM भेजने के बाद मैसेज में छेड़छाड़ को रोकता है। DMARC इन्हें एक साथ बांधता है और ऑथेंटिकेशन रिज़ल्ट्स में विज़िबिलिटी देता है।

SPF (Sender Policy Framework) को समझना

SPF (Sender Policy Framework) एक DNS-बेस्ड ईमेल ऑथेंटिकेशन तरीका है जो यह बताता है कि कौन से मेल सर्वर्स आपके डोमेन की ओर से ईमेल भेजने के लिए अधिकृत हैं।

SPF कैसे काम करता है

जब कोई ईमेल किसी प्राप्त करने वाले सर्वर पर पहुंचता है, तो वह सर्वर सेंडर के डोमेन का SPF रिकॉर्ड लुकअप करता है। फिर यह चेक करता है कि ईमेल भेजने वाला IP एड्रेस अधिकृत के रूप में लिस्टेड है या नहीं। अगर IP मैच करता है, तो SPF पास होता है। अगर नहीं, तो SPF फेल होता है।

SPF वेरिफिकेशन प्रोसेस:

1. आप अपने मार्केटिंग प्लेटफॉर्म से एक ईमेल भेजते हैं
2. प्राप्त करने वाला सर्वर Return-Path (एनवलप सेंडर) से आपका डोमेन निकालता है
3. सर्वर आपके डोमेन के SPF रिकॉर्ड के लिए DNS क्वेरी करता है
4. यह सेंडिंग IP की तुलना आपके SPF रिकॉर्ड की अधिकृत लिस्ट से करता है
5. सर्वर पास, फेल, softfail, या neutral रिज़ल्ट रिकॉर्ड करता है

SPF रिकॉर्ड सिंटैक्स

SPF रिकॉर्ड्स आपके डोमेन के DNS में TXT रिकॉर्ड्स के रूप में पब्लिश होते हैं। यहां बेसिक संरचना है:

v=spf1 [mechanisms] [qualifier]all

वर्ज़न टैग: हमेशा v=spf1 से शुरू होता है

Mechanisms: यह तय करते हैं कि कौन भेज सकता है

Qualifiers: यह तय करते हैं कि मैच को कैसे संभालें

all mechanism: पिछले mechanisms से मेल न खाने वाली किसी भी चीज़ पर लागू होता है

SPF रिकॉर्ड उदाहरण

एक ईमेल प्रोवाइडर के साथ बेसिक सेटअप:

v=spf1 include:spf.brevo.com -all

यह Brevo को आपके डोमेन के लिए ईमेल भेजने का अधिकार देता है और बाकी सभी सेंडर्स को रिजेक्ट करता है।

कई ईमेल सर्विसेज़:

v=spf1 include:spf.brevo.com include:_spf.google.com include:spf.protection.outlook.com -all

यह Brevo, Google Workspace, और Microsoft 365 को अधिकृत करता है।

अपना खुद का मेल सर्वर शामिल करना:

v=spf1 ip4:203.0.113.10 include:spf.brevo.com -all

यह एक विशिष्ट IP एड्रेस (आपका सर्वर) प्लस Brevo को अधिकृत करता है।

टेस्टिंग के दौरान softfail के साथ शुरुआत:

v=spf1 include:spf.brevo.com ~all

-all के बजाय ~all उपयोग करना फेलियर्स को मार्क करता है लेकिन रिजेक्ट नहीं करता। शुरुआती सेटअप के दौरान उपयोगी है।

SPF रिकॉर्ड्स सेट अप करना

स्टेप 1: अपने सेंडिंग सोर्सेज़ पहचानें

हर उस सर्विस को लिस्ट करें जो आपके डोमेन से ईमेल भेजती है:

• ईमेल मार्केटिंग प्लेटफॉर्म्स (Brevo, Mailchimp, आदि)
• ट्रांज़ैक्शनल ईमेल सर्विसेज़
• CRM सिस्टम्स
• हेल्प डेस्क सॉफ्टवेयर
• कंपनी ईमेल (Google Workspace, Microsoft 365)
• आपके अपने मेल सर्वर्स

स्टेप 2: SPF इंक्लूड स्टेटमेंट्स इकट्ठा करें

हर ईमेल सर्विस प्रोवाइडर अपना ज़रूरी SPF इंक्लूड डॉक्यूमेंट करता है। सामान्य उदाहरण:

स्टेप 3: अपना SPF रिकॉर्ड बनाएं

सभी इंक्लूड्स को एक रिकॉर्ड में जोड़ें:

v=spf1 include:spf.brevo.com include:_spf.google.com -all

स्टेप 4: DNS रिकॉर्ड जोड़ें

अपने DNS मैनेजमेंट इंटरफेस में:

• Type: TXT
• Host/Name: @ (या रूट डोमेन के लिए खाली छोड़ें)
• Value: आपका पूरा SPF रिकॉर्ड
• TTL: 3600 (या डिफ़ॉल्ट)

स्टेप 5: रिकॉर्ड वेरिफाई करें

कन्फर्म करने के लिए DNS लुकअप टूल्स उपयोग करें:

dig TXT yourdomain.com

या MXToolbox SPF Lookup जैसे ऑनलाइन टूल्स उपयोग करें।

SPF लिमिटेशंस और बेस्ट प्रैक्टिसेज़

10 DNS लुकअप लिमिट:

SPF में अधिकतम 10 DNS लुकअप्स की सीमा है। हर include: एक लुकअप के रूप में गिना जाता है, और इंक्लूडेड रिकॉर्ड्स में अपने खुद के इंक्लूड्स हो सकते हैं, जो आपकी लिमिट में गिने जाते हैं। इसे पार करने से SPF permerror (परमानेंट एरर) होता है, जो सभी चेक्स को फेल कर देता है।

लिमिट के अंदर रहने की स्ट्रैटेजीज़:

• जब संभव हो सीधे IP एड्रेसेज़ उपयोग करें (ip4: लुकअप के रूप में नहीं गिना जाता)
• एक ही प्रोवाइडर उपयोग करने वाली सर्विसेज़ को कंसोलिडेट करें
• SPF फ्लैटनिंग सर्विसेज़ उपयोग करें जो इंक्लूड्स को IP एड्रेसेज़ में बदल देती हैं
• पुरानी सर्विसेज़ से अनयूज़्ड इंक्लूड्स हटाएं

अन्य SPF बेस्ट प्रैक्टिसेज़:

• प्रति डोमेन सिर्फ एक SPF रिकॉर्ड (कई रिकॉर्ड्स फेलियर्स का कारण बनते हैं)
• सेटअप के दौरान ~all (softfail) से शुरुआत करें, कन्फर्म होने के बाद -all पर जाएं
• ईमेल प्रोवाइडर्स बदलते समय SPF अपडेट करें
• डिप्रीकेटेड ptr mechanism उपयोग न करें
• रिकॉर्ड्स को जितना हो सके सरल रखें

सामान्य SPF गलतियां

कई SPF रिकॉर्ड्स:

Wrong:
v=spf1 include:spf.brevo.com -all
v=spf1 include:_spf.google.com -all

Correct:
v=spf1 include:spf.brevo.com include:_spf.google.com -all

DNS लुकअप लिमिट पार करना:

अगर आपके पास कई इंक्लूड्स हैं, तो अपनी टोटल लुकअप काउंट चेक करें। यह वेरिफाई करने के लिए SPF एनालाइज़र्स उपयोग करें कि आप 10 से नीचे हैं।

प्रोवाइडर्स बदलने के बाद अपडेट करना भूल जाना:

एक ईमेल सर्विस से दूसरी में स्विच करते समय, पुराना इंक्लूड हटाएं और नया जोड़ें।

+all उपयोग करना:

कभी +all उपयोग न करें क्योंकि यह सभी को आपके डोमेन के रूप में भेजने का अधिकार देता है।

DKIM (DomainKeys Identified Mail) को समझना

DKIM (DomainKeys Identified Mail) आपके ईमेल्स में एक क्रिप्टोग्राफिक सिग्नेचर जोड़ता है, यह साबित करते हुए कि मैसेज आपके डोमेन से आया है और ट्रांज़िट में मॉडिफाई नहीं हुआ।

DKIM कैसे काम करता है

DKIM पब्लिक-की क्रिप्टोग्राफी उपयोग करता है:

1. आपका ईमेल प्रोवाइडर एक पब्लिक/प्राइवेट की पेयर जनरेट करता है
2. आप पब्लिक की को DNS में पब्लिश करते हैं
3. प्रोवाइडर प्राइवेट की के साथ आउटगोइंग ईमेल्स साइन करता है
4. प्राप्त करने वाले सर्वर्स DNS से आपकी पब्लिक की रिट्रीव करते हैं
5. वे सिग्नेचर वेरिफाई करने के लिए पब्लिक की उपयोग करते हैं
6. एक वैध सिग्नेचर प्रामाणिकता और अखंडता साबित करता है

DKIM क्या साइन करता है:

DKIM सिग्नेचर्स आमतौर पर विशिष्ट हेडर्स और मैसेज बॉडी को कवर करते हैं:

• From हेडर (ज़रूरी)
• Subject हेडर
• Date हेडर
• मैसेज बॉडी
• कॉन्फ़िगर किए गए अन्य हेडर्स

यह हमलावरों को भेजने के बाद इन एलिमेंट्स को मॉडिफाई करने से रोकता है।

DKIM रिकॉर्ड संरचना

DKIM रिकॉर्ड्स एक विशिष्ट नेमिंग फॉर्मेट के साथ TXT रिकॉर्ड्स के रूप में पब्लिश होते हैं:

selector._domainkey.yourdomain.com

सिलेक्टर एक यूनीक आइडेंटिफायर है जो आपको कई DKIM कीज़ रखने की अनुमति देता है। अलग-अलग ईमेल सर्विसेज़ अलग-अलग सिलेक्टर्स उपयोग करती हैं (जैसे, brevo, google, s1, s2)।

DKIM रिकॉर्ड कंटेंट:

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC...

DKIM सेट अप करना

स्टेप 1: DKIM कीज़ जनरेट करें

आपका ईमेल सर्विस प्रोवाइडर आमतौर पर आपके लिए कीज़ जनरेट करता है। Brevo में:

1. Settings > Senders, Domains & Dedicated IPs पर जाएं
2. अपना डोमेन चुनें
3. DKIM सेक्शन पर नेविगेट करें
4. दिया गया DNS रिकॉर्ड कॉपी करें

सेल्फ-होस्टेड मेल सर्वर्स के लिए, OpenSSL उपयोग करके कीज़ जनरेट करें:

openssl genrsa -out private.key 2048
openssl rsa -in private.key -pubout -out public.key

स्टेप 2: DKIM DNS रिकॉर्ड जोड़ें

अपने DNS मैनेजमेंट में:

• Type: TXT
• Host/Name: selector._domainkey (जैसे, brevo._domainkey)
• Value: आपके प्रोवाइडर का DKIM रिकॉर्ड
• TTL: 3600

स्टेप 3: DKIM साइनिंग एनेबल करें

अपने ईमेल प्रोवाइडर की सेटिंग्स में, अपने डोमेन के लिए DKIM साइनिंग एनेबल करें। इससे प्रोवाइडर को आउटगोइंग मैसेजेस साइन करने के लिए कहा जाता है।

स्टेप 4: सेटअप वेरिफाई करें

एक टेस्ट ईमेल भेजें और हेडर्स में DKIM-Signature चेक करें। इन जैसे टूल्स उपयोग करें:

• mail-tester.com
• DKIM Validator
• MXToolbox DKIM Lookup

DKIM बेस्ट प्रैक्टिसेज़

2048-बिट कीज़ उपयोग करें:

पुरानी 1024-बिट कीज़ कमज़ोर मानी जाती हैं। मॉडर्न सिक्योरिटी स्टैंडर्ड्स कम से कम 2048-बिट RSA कीज़ की सलाह देते हैं।

कीज़ को समय-समय पर रोटेट करें:

हालांकि सख्ती से ज़रूरी नहीं है, DKIM कीज़ को सालाना रोटेट करना एक अच्छी सिक्योरिटी प्रैक्टिस है। गैप्स से बचने के लिए पुरानी हटाने से पहले नई की जोड़ें।

की कॉम्प्रोमाइज़ के लिए मॉनिटर करें:

अगर आपकी प्राइवेट की कॉम्प्रोमाइज़ हो जाती है, तो हमलावर आपके रूप में मैसेजेस साइन कर सकते हैं। असामान्य ऑथेंटिकेशन पैटर्न्स के लिए मॉनिटर करें।

अलग-अलग सर्विसेज़ के लिए अलग-अलग सिलेक्टर्स उपयोग करें:

हर ईमेल प्रोवाइडर को एक यूनीक सिलेक्टर उपयोग करना चाहिए। इससे स्वतंत्र की मैनेजमेंट संभव होता है और अन्य सर्विसेज़ के साथ कोई कॉन्फ्लिक्ट नहीं होता।

DNS प्रोपेगेशन चेक करें:

DKIM कीज़ लंबी हो सकती हैं। सुनिश्चित करें कि आपका DNS प्रोवाइडर पर्याप्त लंबाई वाले TXT रिकॉर्ड्स सपोर्ट करता है। कुछ प्रोवाइडर्स को की को कई स्ट्रिंग्स में बांटना पड़ता है।

DKIM हेडर्स पढ़ना

जब आप एक ईमेल प्राप्त करते हैं, तो DKIM-Signature हेडर दिखाता है:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
  d=example.com; s=brevo;
  h=from:to:subject:date:message-id;
  bh=base64hashofbody;
  b=base64signature;

DMARC (Domain-based Message Authentication, Reporting, and Conformance) को समझना

DMARC पॉलिसी एनफोर्समेंट और रिपोर्टिंग देने के लिए SPF और DKIM पर बनता है। यह प्राप्त करने वाले सर्वर्स को बताता है कि ऑथेंटिकेशन फेल होने पर क्या करना है और आपको ऑथेंटिकेशन रिज़ल्ट्स के बारे में रिपोर्ट्स भेजता है।

DMARC कैसे काम करता है

DMARC दो महत्वपूर्ण क्षमताएं जोड़ता है:

1. पॉलिसी एनफोर्समेंट: यह परिभाषित करें कि प्राप्तकर्ताओं को ऑथेंटिकेशन फेलियर्स कैसे संभालनी चाहिए
2. रिपोर्टिंग: यह डेटा प्राप्त करें कि कौन आपके डोमेन का उपयोग करके ईमेल भेज रहा है

DMARC वेरिफिकेशन प्रोसेस:

1. एक प्राप्त करने वाले सर्वर को एक ईमेल मिलता है जो आपके डोमेन से होने का दावा करता है
2. यह SPF चेक करता है (क्या सेंडिंग IP मैच करता है?)
3. यह DKIM चेक करता है (क्या सिग्नेचर वैध है?)
4. यह DMARC अलाइनमेंट चेक करता है (क्या ऑथेंटिकेटेड डोमेन्स From हेडर से मेल खाते हैं?)
5. अगर अलाइनमेंट फेल होता है, तो यह आपकी DMARC पॉलिसी लागू करता है
6. यह आपको एग्रीगेट और/या फोरेंसिक रिपोर्ट्स भेजता है

DMARC अलाइनमेंट

DMARC को From हेडर के डोमेन और SPF या DKIM पास करने वाले डोमेन्स के बीच अलाइनमेंट चाहिए:

SPF अलाइनमेंट: Return-Path (एनवलप सेंडर) में डोमेन को From हेडर डोमेन से मैच करना या उसका सबडोमेन होना चाहिए।

DKIM अलाइनमेंट: DKIM सिग्नेचर (d= टैग) में डोमेन को From हेडर डोमेन से मैच करना या उसका सबडोमेन होना चाहिए।

अलाइनमेंट मोड्स:

Relaxed अलाइनमेंट के साथ, अगर आपका From हेडर [email protected] दिखाता है और DKIM brevo.example.com से साइन करता है, तो अलाइनमेंट पास होता है क्योंकि दोनों example.com ऑर्गेनाइज़ेशनल डोमेन शेयर करते हैं।

DMARC रिकॉर्ड सिंटैक्स

DMARC रिकॉर्ड्स _dmarc.yourdomain.com पर TXT रिकॉर्ड्स के रूप में पब्लिश होते हैं:

v=DMARC1; p=reject; rua=mailto:[email protected]; pct=100

ज़रूरी टैग्स:

वैकल्पिक टैग्स:

DMARC पॉलिसीज़ की व्याख्या

p=none (सिर्फ मॉनिटर):

फेलियर्स पर कोई एक्शन नहीं। ईमेल्स सामान्य रूप से डिलीवर होते हैं। रिपोर्ट्स का विश्लेषण करने और ऑथेंटिकेशन समस्याएं ठीक करने के दौरान इसे उपयोग करें।

v=DMARC1; p=none; rua=mailto:[email protected]

p=quarantine (स्पैम फोल्डर):

फेल हुए ईमेल्स स्पैम/जंक फोल्डर में भेजे जाते हैं। पूरी रिजेक्शन से पहले एक अच्छा इंटरमीडिएट स्टेप।

v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100

p=reject (ब्लॉक):

फेल हुए ईमेल्स पूरी तरह रिजेक्ट हो जाते हैं। अधिकतम सुरक्षा लेकिन पहले सुनिश्चित करें कि सभी वैध सोर्सेज़ पास होते हैं।

v=DMARC1; p=reject; rua=mailto:[email protected]; pct=100

DMARC सेट अप करना

स्टेप 1: सुनिश्चित करें कि SPF और DKIM काम कर रहे हैं

DMARC SPF और DKIM पर निर्भर करता है। DMARC जोड़ने से पहले दोनों सही तरीके से कॉन्फ़िगर हैं यह वेरिफाई करें।

स्टेप 2: मॉनिटरिंग (p=none) से शुरुआत करें

डिलीवरी को प्रभावित किए बिना डेटा इकट्ठा करने के लिए सबसे परमिसिव पॉलिसी से शुरुआत करें:

v=DMARC1; p=none; rua=mailto:[email protected]

स्टेप 3: DNS रिकॉर्ड जोड़ें

अपने DNS मैनेजमेंट में:

• Type: TXT
• Host/Name: _dmarc
• Value: आपका DMARC रिकॉर्ड
• TTL: 3600

स्टेप 4: 2-4 हफ्तों तक रिपोर्ट्स का विश्लेषण करें

DMARC एग्रीगेट रिपोर्ट्स रोज़ाना XML फाइल्स के रूप में आती हैं। ये दिखाती हैं:

• कौन से IPs ने आपके डोमेन का उपयोग करके ईमेल भेजा
• SPF और DKIM पास/फेल रेट्स
• DMARC अलाइनमेंट रिज़ल्ट्स
• प्राप्त करने वाले सर्वर के एक्शंस

इस डेटा को विज़ुअलाइज़ करने के लिए DMARC रिपोर्ट एनालाइज़र्स उपयोग करें:

• DMARC Analyzer
• Postmark DMARC
• Valimail
• dmarcian

स्टेप 5: ऑथेंटिकेशन समस्याएं ठीक करें

रिपोर्ट्स से पता चलने वाली सामान्य समस्याएं:

• SPF से गायब वैध सर्विसेज़
• किसी सेंडिंग सर्विस के लिए DKIM एनेबल नहीं है
• थर्ड-पार्टी सर्विसेज़ बिना सही ऑथेंटिकेशन के भेज रही हैं
• फॉरवर्डिंग से SPF अलाइनमेंट टूट रहा है

स्टेप 6: धीरे-धीरे एनफोर्स करें

एक बार वैध सोर्सेज़ लगातार पास होने लगें:

1. p=quarantine; pct=10 पर जाएं (10% फेलियर्स को क्वारंटीन करें)
2. pct को 25, 50, 75, 100 तक बढ़ाएं
3. p=reject; pct=10 पर जाएं
4. पूरी रिजेक्शन तक बढ़ाएं

स्टेप 7: मेंटेन और मॉनिटर करें

रिपोर्ट्स की समीक्षा जारी रखें। नए सेंडिंग सोर्सेज़, प्रोवाइडर बदलाव, या कॉन्फ़िगरेशन ड्रिफ्ट ऑथेंटिकेशन फेलियर्स का कारण बन सकते हैं।

DMARC रिपोर्ट्स को समझना

एग्रीगेट रिपोर्ट्स (rua):

रोज़ाना XML सारांश जो दिखाते हैं:

• रिपोर्टिंग ऑर्गेनाइज़ेशन
• डेट रेंज
• आपकी पब्लिश की गई पॉलिसी
• सोर्स IP के हिसाब से ऑथेंटिकेशन रिज़ल्ट्स
• ईमेल्स का वॉल्यूम

उदाहरण एक्सर्प्ट:

<record>
  <source_ip>203.0.113.10</source_ip>
  <count>1250</count>
  <policy_evaluated>
    <disposition>none</disposition>
    <dkim>pass</dkim>
    <spf>pass</spf>
  </policy_evaluated>
</record>

फोरेंसिक रिपोर्ट्स (ruf):

फेलियर्स के लिए इंडिविजुअल मैसेज डिटेल्स। ज़्यादा डिटेल्ड लेकिन प्राइवेसी-संवेदनशील। कई प्राप्तकर्ता फोरेंसिक रिपोर्ट्स नहीं भेजते।

DMARC बेस्ट प्रैक्टिसेज़

हमेशा p=none से शुरुआत करें:

सीधे reject पर जाने से वैध ईमेल ब्लॉक हो सकता है। पहले मॉनिटर करें।

रिपोर्ट्स के लिए एक डेडिकेटेड ईमेल एड्रेस उपयोग करें:

DMARC रिपोर्ट्स भारी मात्रा में हो सकती हैं। एक डेडिकेटेड एड्रेस या थर्ड-पार्टी सर्विस उपयोग करें।

सबडोमेन पॉलिसी (sp=) सेट करें:

अगर आप सबडोमेन्स से ईमेल नहीं भेजते, तो उन्हें स्पूफिंग से बचाने के लिए sp=reject सेट करें।

धीरे-धीरे रोलआउट के लिए percentage (pct=) उपयोग करें:

pct टैग आपको बाकी को मॉनिटर करते हुए फेलियर्स के एक प्रतिशत पर पॉलिसी लागू करने देता है।

डेडिकेटेड DMARC सर्विसेज़ पर विचार करें:

बड़े ऑर्गेनाइज़ेशंस के लिए, Valimail, dmarcian, या Postmark DMARC जैसी सर्विसेज़ रॉ XML फाइल्स से बेहतर रिपोर्ट एनालिसिस देती हैं।

DNS रिकॉर्ड सेटअप: संपूर्ण वॉकथ्रू

ईमेल ऑथेंटिकेशन सेट करने के लिए विशिष्ट DNS रिकॉर्ड्स जोड़ने की ज़रूरत होती है। यह सेक्शन प्रमुख DNS प्रोवाइडर्स के लिए एक संपूर्ण वॉकथ्रू देता है।

अपनी ज़रूरी वैल्यूज़ इकट्ठा करना

शुरू करने से पहले, अपने ईमेल प्रोवाइडर्स से ये वैल्यूज़ इकट्ठा करें:

SPF के लिए:

• सभी इंक्लूड स्टेटमेंट्स (जैसे, include:spf.brevo.com)
• कोई भी विशिष्ट IP एड्रेसेज़ जिन्हें आपको अधिकृत करना है

DKIM के लिए:

• सिलेक्टर नाम (जैसे, brevo, google, s1)
• पूरी DKIM की वैल्यू

DMARC के लिए:

• आपका रिपोर्टिंग ईमेल एड्रेस

सामान्य DNS प्रोवाइडर्स में रिकॉर्ड्स जोड़ना

Cloudflare:

1. Cloudflare Dashboard में लॉग इन करें
2. अपना डोमेन चुनें
3. DNS > Records पर जाएं
4. Add Record पर क्लिक करें
5. SPF के लिए: Type=TXT, Name=@, Content=आपका SPF रिकॉर्ड
6. DKIM के लिए: Type=TXT, Name=selector._domainkey, Content=DKIM की
7. DMARC के लिए: Type=TXT, Name=_dmarc, Content=DMARC रिकॉर्ड
8. Save पर क्लिक करें

Google Domains/Squarespace:

1. अपने डोमेन की DNS सेटिंग्स पर जाएं
2. Custom Records तक स्क्रॉल करें
3. Manage Custom Records पर क्लिक करें
4. उपयुक्त type, host, और data के साथ हर रिकॉर्ड जोड़ें
5. SPF के लिए: Host=@, Type=TXT, Data=SPF रिकॉर्ड
6. DKIM के लिए: Host=selector._domainkey, Type=TXT, Data=DKIM की
7. DMARC के लिए: Host=_dmarc, Type=TXT, Data=DMARC रिकॉर्ड

GoDaddy:

1. My Products > Domains पर जाएं
2. अपने डोमेन के आगे DNS पर क्लिक करें
3. Records सेक्शन तक स्क्रॉल करें
4. हर नए रिकॉर्ड के लिए Add पर क्लिक करें
5. Type के लिए TXT चुनें
6. Name डालें (SPF के लिए @, DKIM के लिए selector._domainkey, DMARC के लिए _dmarc)
7. Value डालें
8. Save करें

Namecheap:

1. Domain List > Manage पर जाएं
2. Advanced DNS पर क्लिक करें
3. हर के लिए Add New Record करें
4. TXT Record चुनें
5. Host: SPF के लिए @, DKIM के लिए selector._domainkey, DMARC के लिए _dmarc
6. Value: आपका रिकॉर्ड कंटेंट
7. Save All Changes करें

DNS प्रोपेगेशन

रिकॉर्ड्स जोड़ने के बाद, बदलावों को ग्लोबली प्रोपेगेट होने में समय लगता है। इसमें आमतौर पर लगता है:

• शुरुआती विज़िबिलिटी के लिए 5-30 मिनट
• पूरे ग्लोबल प्रोपेगेशन के लिए 48 घंटों तक

वेरिफाई करने के लिए dig या nslookup उपयोग करें:

dig TXT yourdomain.com
dig TXT selector._domainkey.yourdomain.com
dig TXT _dmarc.yourdomain.com

या दुनियाभर में प्रोपेगेशन चेक करने के लिए whatsmydns.net जैसे ऑनलाइन टूल्स उपयोग करें।

उदाहरण संपूर्ण सेटअप

Brevo और Google Workspace उपयोग करने वाले एक डोमेन के लिए:

SPF रिकॉर्ड (TXT at @):

v=spf1 include:spf.brevo.com include:_spf.google.com -all

Brevo के लिए DKIM रिकॉर्ड (TXT at brevo._domainkey):

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBA... [key from Brevo dashboard]

Google के लिए DKIM रिकॉर्ड (TXT at google._domainkey):

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BA... [key from Google Admin]

DMARC रिकॉर्ड (TXT at _dmarc):

v=DMARC1; p=none; rua=mailto:[email protected]

सामान्य समस्याओं की ट्रबलशूटिंग

सावधानी से सेटअप करने के बावजूद, ईमेल ऑथेंटिकेशन फेल हो सकता है। यहां सामान्य समस्याएं और उन्हें कैसे हल करें दिया गया है।

SPF ट्रबलशूटिंग

SPF रिकॉर्ड नहीं मिला:

लक्षण: SPF चेक्स “none” या “no record” दिखाते हैं

कारण:

• रिकॉर्ड DNS में नहीं जोड़ा गया
• रिकॉर्ड गलत लोकेशन पर जोड़ा गया (रूट के बजाय सबडोमेन)
• DNS प्रोपेगेशन पूरा नहीं हुआ

समाधान:

• dig TXT yourdomain.com के साथ पुष्टि करें कि रिकॉर्ड मौजूद है
• Name/Host फील्ड चेक करें (रूट डोमेन के लिए @ या खाली होना चाहिए)
• DNS प्रोपेगेशन का इंतज़ार करें (48 घंटों तक)

SPF PermError (बहुत ज़्यादा लुकअप्स):

लक्षण: SPF रिज़ल्ट्स “permerror” दिखाते हैं

कारण:

• आपके SPF रिकॉर्ड में 10 से ज़्यादा DNS लुकअप्स
• ज़्यादा नेस्टेड इंक्लूड्स वाले इंक्लूड्स

समाधान:

• अपने इंक्लूड्स ऑडिट करें और अनयूज़्ड हटाएं
• जहां संभव हो इंक्लूड्स को ip4: एंट्रीज़ से बदलें
• SPF फ्लैटनिंग सर्विसेज़ उपयोग करें
• कम प्रोवाइडर्स पर सर्विसेज़ कंसोलिडेट करें

वैध मेल के लिए SPF SoftFail या Fail:

लक्षण: वैध ईमेल्स SPF फेल हो रहे हैं

कारण:

• सेंडिंग सर्विस SPF में शामिल नहीं है
• अनऑथराइज़्ड IP से भेजना
• एनवलप सेंडर बदलने वाला रिले उपयोग करना

समाधान:

• अपनी सेंडिंग सर्विस के लिए गायब इंक्लूड जोड़ें
• चेक करें कि वास्तव में किस IP ने ईमेल भेजा (हेडर्स से)
• सही SPF सेटिंग्स के लिए अपने ईमेल प्रोवाइडर से संपर्क करें

कई SPF रिकॉर्ड्स:

लक्षण: SPF permerror या रैंडम फेलियर्स दिखाता है

कारण:

• v=spf1 वाले दो या ज़्यादा TXT रिकॉर्ड्स

समाधान:

• सभी mechanisms को एक SPF रिकॉर्ड में जोड़ें
• डुप्लीकेट SPF रिकॉर्ड्स डिलीट करें

DKIM ट्रबलशूटिंग

DKIM सिग्नेचर गायब:

लक्षण: ईमेल्स में कोई DKIM-Signature हेडर नहीं

कारण:

• ईमेल प्रोवाइडर में DKIM साइनिंग एनेबल नहीं है
• डोमेन वेरिफिकेशन पूरा नहीं हुआ
• नॉन-DKIM पाथ से भेजना

समाधान:

• अपने प्रोवाइडर की सेटिंग्स में DKIM एनेबल करें
• डोमेन वेरिफिकेशन स्टेप्स पूरे करें
• DKIM सेटअप के लिए प्रोवाइडर डॉक्यूमेंटेशन चेक करें

DKIM वेरिफिकेशन फेल:

लक्षण: DKIM ऑथेंटिकेशन रिज़ल्ट्स में “fail” दिखाता है

कारण:

• DNS रिकॉर्ड पब्लिश नहीं हुआ या गलत है
• गलत सिलेक्टर उपयोग हुआ
• DNS और साइनिंग के बीच की मिसमैच
• मैसेज ट्रांज़िट में मॉडिफाई हुआ

समाधान:

• वेरिफाई करें कि DNS रिकॉर्ड selector._domainkey.domain पर मौजूद है
• DKIM-Signature हेडर में सिलेक्टर की DNS से तुलना करें
• अगर मिसमैच का शक हो तो कीज़ रीजेनरेट करें
• मैसेजेस मॉडिफाई करने वाले मेल फिल्टर्स या रिले चेक करें

DKIM की DNS के लिए बहुत लंबी:

लक्षण: DKIM रिकॉर्ड सेव नहीं हो पा रहा, ट्रंकेशन एरर्स

कारण:

• 2048-बिट कीज़ सिंगल TXT रिकॉर्ड लंबाई से बड़ी हैं
• DNS प्रोवाइडर में कैरेक्टर लिमिट्स हैं

समाधान:

• की को कई कोटेड स्ट्रिंग्स में बांटें (ज़्यादातर प्रोवाइडर्स यह अपने आप संभालते हैं)
• चेक करें कि आपका DNS प्रोवाइडर लंबे TXT रिकॉर्ड्स सपोर्ट करता है या नहीं
• अस्थायी रूप से 1024-बिट कीज़ उपयोग करें (कम सुरक्षित)

स्प्लिट DKIM रिकॉर्ड का उदाहरण:

"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."
"...continuation of key..."

DMARC ट्रबलशूटिंग

DMARC अलाइनमेंट फेलियर्स:

लक्षण: SPF और DKIM पास लेकिन DMARC फेल

कारण:

• ऑथेंटिकेटेड डोमेन From हेडर डोमेन से मेल नहीं खाता
• थर्ड-पार्टी सेंडिंग सर्विस अपने खुद के डोमेन का उपयोग कर रही है
• गलत कॉन्फ़िगर्ड एनवलप सेंडर

समाधान:

• सुनिश्चित करें कि आपका ईमेल प्रोवाइडर आपके डोमेन के साथ साइन करता है (कस्टम DKIM)
• कस्टम Return-Path/एनवलप सेंडर कॉन्फ़िगर करें
• Relaxed अलाइनमेंट मोड उपयोग करें (adkim=r; aspf=r)

DMARC रिपोर्ट्स नहीं मिल रहीं:

लक्षण: कोई एग्रीगेट रिपोर्ट्स नहीं आ रहीं

कारण:

• rua एड्रेस गलत है
• ईमेल एड्रेस बाहरी ईमेल प्राप्त नहीं कर सकता
• रिपोर्ट्स स्पैम में जा रही हैं
• प्राप्त करने वाले सर्वर्स रिपोर्ट्स नहीं भेज रहे

समाधान:

• rua सिंटैक्स वेरिफाई करें: rua=mailto:[email protected]
• टेस्ट करें कि रिपोर्टिंग एड्रेस बाहरी मेल प्राप्त कर सकता है
• रिपोर्ट्स के लिए स्पैम फोल्डर चेक करें
• ध्यान दें: सभी प्राप्तकर्ता DMARC रिपोर्ट्स नहीं भेजते

DMARC रिकॉर्ड नहीं मिला:

लक्षण: DMARC चेक्स “no record” दिखाते हैं

कारण:

• रिकॉर्ड गलत लोकेशन पर पब्लिश हुआ
• गलत फॉर्मेट उपयोग हुआ (_dmarc सबडोमेन पर TXT होना चाहिए)

समाधान:

• रिकॉर्ड _dmarc.yourdomain.com पर होना चाहिए
• dig TXT _dmarc.yourdomain.com के साथ वेरिफाई करें

सामान्य ट्रबलशूटिंग टूल्स

ऑनलाइन वैलिडेटर्स:

• MXToolbox (mxtoolbox.com) - SPF, DKIM, DMARC लुकअप्स
• Mail Tester (mail-tester.com) - पूरे एनालिसिस के लिए टेस्ट ईमेल भेजें
• DMARC Analyzer - रिपोर्ट विज़ुअलाइज़ेशन
• Google Admin Toolbox - MX, SPF, DKIM चेक करें

कमांड लाइन टूल्स:

# Check SPF
dig TXT yourdomain.com

# Check DKIM
dig TXT selector._domainkey.yourdomain.com

# Check DMARC
dig TXT _dmarc.yourdomain.com

# Check from specific DNS server
dig @8.8.8.8 TXT yourdomain.com

ईमेल हेडर एनालिसिस:

प्राप्त ईमेल्स में Authentication-Results हेडर चेक करें:

Authentication-Results: mx.google.com;
  dkim=pass header.d=example.com header.s=brevo;
  spf=pass smtp.mailfrom=example.com;
  dmarc=pass action=none header.from=example.com

ईमेल ऑथेंटिकेशन और Brevo

Brevo व्यापक ईमेल ऑथेंटिकेशन सपोर्ट देता है, जिससे आपके सेंडिंग डोमेन्स के लिए SPF, DKIM, और DMARC कॉन्फ़िगर करना आसान हो जाता है।

Brevo में ऑथेंटिकेशन सेट अप करना

स्टेप 1: अपना डोमेन जोड़ें

1. अपने Brevo अकाउंट में लॉग इन करें
2. Settings > Senders, Domains & Dedicated IPs पर नेविगेट करें
3. Add a Domain पर क्लिक करें
4. अपना डोमेन नाम डालें

स्टेप 2: SPF कॉन्फ़िगर करें

Brevo अपने DNS में जोड़ने के लिए SPF इंक्लूड देता है:

include:spf.brevo.com

इसे अपने मौजूदा SPF रिकॉर्ड में जोड़ें या एक नया बनाएं:

v=spf1 include:spf.brevo.com -all

स्टेप 3: DKIM कॉन्फ़िगर करें

Brevo अपने आप DKIM कीज़ जनरेट करता है। दिया गया रिकॉर्ड कॉपी करें:

1. Brevo में अपनी डोमेन सेटिंग्स पर जाएं
2. DKIM सेक्शन ढूंढें
3. DNS रिकॉर्ड का नाम और वैल्यू कॉपी करें
4. अपने DNS में TXT रिकॉर्ड जोड़ें

स्टेप 4: कॉन्फ़िगरेशन वेरिफाई करें

Brevo अपने आप आपके DNS रिकॉर्ड्स चेक करता है। हरे चेकमार्क्स सफल कॉन्फ़िगरेशन दिखाते हैं।

सही Brevo ऑथेंटिकेशन के फायदे

जब आप Brevo के साथ सही तरीके से ऑथेंटिकेशन कॉन्फ़िगर करते हैं:

• ज़्यादा इनबॉक्स प्लेसमेंट: Gmail, Microsoft, और अन्य प्रोवाइडर्स ऑथेंटिकेटेड मैसेजेस पर भरोसा करते हैं
• ब्रांड प्रोटेक्शन: DMARC आपके डोमेन की स्पूफिंग को रोकता है
• बेहतर एनालिटिक्स: ओपंस और क्लिक्स की सटीक ट्रैकिंग
• रेप्युटेशन बिल्डिंग: लगातार ऑथेंटिकेशन सेंडर रेप्युटेशन बनाता है

Tajo इंटीग्रेशन के फायदे

अपने Shopify स्टोर को Brevo के साथ कनेक्ट करने के लिए Tajo उपयोग करने से अतिरिक्त फायदे मिलते हैं:

• ऑटोमेटिक कस्टमर सिंक: पर्सनलाइज़्ड ईमेल्स के लिए कस्टमर डेटा निर्बाध रूप से फ्लो करता है
• इवेंट ट्रैकिंग: पर्चेज़, ब्राउज़, और कार्ट इवेंट्स ऑथेंटिकेटेड ट्रांज़ैक्शनल ईमेल्स ट्रिगर करते हैं
• मल्टी-चैनल कोऑर्डिनेशन: ईमेल, SMS, और WhatsApp में लगातार ऑथेंटिकेशन मेंटेन करें
• यूनिफाइड एनालिटिक्स: अन्य मार्केटिंग मेट्रिक्स के साथ ईमेल परफॉर्मेंस ट्रैक करें

सही ईमेल ऑथेंटिकेशन और रियल-टाइम कस्टमर डेटा सिंक्रोनाइज़ेशन का मेल सुनिश्चित करता है कि आपके ईमेल्स न सिर्फ इनबॉक्स तक पहुंचें बल्कि हर प्राप्तकर्ता के साथ प्रतिध्वनित भी हों।

निष्कर्ष

SPF, DKIM, और DMARC के ज़रिए ईमेल ऑथेंटिकेशन अब उन बिज़नेसेज़ के लिए वैकल्पिक नहीं है जो ईमेल कम्युनिकेशन पर निर्भर करते हैं। ये प्रोटोकॉल्स आपके ब्रांड को स्पूफिंग से बचाते हैं, डिलिवरेबिलिटी सुधारते हैं, और प्रभावी ईमेल मार्केटिंग के लिए ज़रूरी भरोसा बनाते हैं।

मुख्य बिंदु:

• SPF DNS के ज़रिए सेंडिंग सर्वर्स को अधिकृत करता है
• DKIM क्रिप्टोग्राफिक सिग्नेचर्स के साथ मैसेज की प्रामाणिकता साबित करता है
• DMARC पॉलिसी एनफोर्स करता है और रिपोर्ट्स के ज़रिए विज़िबिलिटी देता है
• रिजेक्शन एनफोर्स करने से पहले मॉनिटरिंग (p=none) से शुरुआत करें
• सभी वैध सेंडिंग सोर्सेज़ सही तरीके से कॉन्फ़िगर होने चाहिए
• रेगुलर मॉनिटरिंग कॉन्फ़िगरेशन ड्रिफ्ट को रोकती है

Shopify उपयोग करने वाले ईकॉमर्स बिज़नेसेज़ के लिए, Tajo और Brevo के ज़रिए कस्टमर डेटा इंटीग्रेशन के साथ सही ईमेल ऑथेंटिकेशन को जोड़ना एक शक्तिशाली फाउंडेशन बनाता है। आपके ट्रांज़ैक्शनल ईमेल्स भरोसेमंद तरीके से कस्टमर्स तक पहुंचते हैं, आपकी मार्केटिंग कैम्पेन्स बेहतर इनबॉक्स प्लेसमेंट पाती हैं, और आपका ब्रांड स्पूफिंग अटैक्स से सुरक्षित रहता है।

अपनी ईमेल डिलिवरेबिलिटी सुधारने के लिए तैयार हैं? इस गाइड में बताए गए टूल्स के साथ अपना मौजूदा ऑथेंटिकेशन सेटअप ऑडिट करके शुरुआत करें, फिर स्टेप-बाय-स्टेप निर्देशों का पालन करते हुए व्यवस्थित रूप से SPF, DKIM, और DMARC कॉन्फ़िगर करें।

जानें कि Tajo Brevo के साथ कैसे इंटीग्रेट होता है ताकि आपके Shopify स्टोर के लिए रियल-टाइम कस्टमर डेटा सिंक्रोनाइज़ेशन के साथ निर्बाध ईमेल ऑथेंटिकेशन मिल सके।

संबंधित लेख

• ईमेल मार्केटिंग कैम्पेन्स: प्लानिंग, एग्ज़ीक्यूशन, और ऑप्टिमाइज़ेशन की संपूर्ण गाइड
• ईमेल मार्केटिंग स्ट्रैटेजी: संपूर्ण प्लानिंग और एग्ज़ीक्यूशन गाइड [2025]
• छोटे बिज़नेस के लिए ईमेल मार्केटिंग: संपूर्ण गाइड (2026)
• ईमेल मार्केटिंग ROI: रिटर्न्स की गणना, ट्रैकिंग, और सुधार कैसे करें [2025]
• शुरुआती लोगों के लिए ईमेल मार्केटिंग: संपूर्ण शुरुआती गाइड (2026)