Risolvere i problemi relativi agli errori di DMARC per l’e-mail in uscita nell’infrastruttura Adobe Commerce on Cloud con SendGrid

Se le e-mail in uscita dal tuo archivio (conferme d’ordine, reimpostazioni di password e e e-mail transazionali simili inviate tramite l’integrazione SendGrid integrata di Adobe) non superano i controlli DMARC, vengono contrassegnate come spam o vengono rifiutate dai server di posta dei destinatari, le cause possibili sono due. Prima di apportare qualsiasi modifica DNS, controlla quale si applica all’utente.

Descrizione description

Ambiente

Problema/Sintomi

Prima di iniziare: confermare che si tratta effettivamente di un problema di autenticazione.

Non tutti gli errori di consegna segnalati insieme al monitoraggio di DMARC sono causati da DMARC/DKIM/SPF: i mancati recapiti lato destinatario (cassetta postale completa, inserimento nell’elenco dei grigi, limitazione IP) sono simili nei rapporti, ma non hanno nulla a che fare con l’autenticazione del dominio. Controllare il motivo specifico di mancato recapito/blocco nel feed dell’attività SendGrid prima di supporre che questa guida sia applicabile.

Come confermare ogni sintomo

Mancato recapito o rifiutato con errori relativi a DMARC: Aprire l’origine non elaborata del messaggio non recapitato o rifiutato nel client di posta e controllare l’intestazione Authentication-Results.

Esempio:

Authentication-Results: mx.google.com;
       dkim=fail;
       spf=fail (google.com: domain of bounce@mail.adobe.com does not designate XXX.XXX.XXX.XXX as permitted sender);
       dmarc=fail (p=REJECT sp=REJECT dis=REJECT) header.from=adobe.com

Cosa cercare: Un risultato dmarc=fail in questa intestazione conferma che il rifiuto è relativo a DMARC, non a un mancato recapito non correlato (cassetta postale completa, inserimento nell’elenco dei grigi, limitazione IP).

Risoluzione resolution

Per risolvere il problema, segui la procedura riportata di seguito:

Passaggio 1: verifica se il dominio pubblica già un record DMARC

Esegui questa operazione per verificare se esiste già un criterio:

dig TXT _dmarc.yourdomain.com +short

Cosa cercare: Se esiste un criterio, restituisce un valore TXT tra virgolette a partire da v=DMARC1; (ad esempio: "v=DMARC1; p=reject; rua=mailto:dmarc-reports@yourdomain.com"). Se il comando non restituisce alcun valore, per il dominio non verrà pubblicato alcun record di DMARC. Esempio convalidato: la query su _dmarc.adobe.com non restituisce attualmente alcun risultato, ovvero adobe.com non ha alcun record DMARC pubblicato.

Scenario A: esiste già un record DMARC (caso più comune)

Se viene restituito un record, il dominio dispone già di un criterio DMARC, in genere impostato in modo indipendente dal team IT o di sicurezza dell’organizzazione, non correlato ad Adobe Commerce. In questo caso, in caso di errori di DMARC quasi sempre significa che l’autenticazione del dominio di SendGrid (DKIM e SPF) non è ancora impostata o allineata per il dominio di invio, non che vi siano problemi con il record DMARC stesso.

Risoluzione: Segui la documentazione esistente del servizio di posta elettronica SendGrid per richiedere l’autenticazione del dominio DKIM e SPF tramite un caso di supporto. Una volta aggiunti correttamente i record DKIM/SPF di SendGrid al DNS e allineati al dominio di invio, i criteri DMARC esistenti inizieranno a passare. Non sono necessarie modifiche al record DMARC stesso.

I valori dei record DNS possono cambiare nel tempo: Non riutilizzare i valori CNAME/TXT da un caso di supporto precedente o da un documento interno. È possibile riemettere le assegnazioni degli account secondari SendGrid, pertanto un record corretto in passato potrebbe non corrispondere più alla configurazione SendGrid corrente. Richiedi sempre i valori correnti tramite un nuovo caso di supporto anziché riapplicare quelli storici.

Se si tratta di un ambiente di staging o non di produzione: SendGrid è abilitato per impostazione predefinita per staging e produzione, ma l’autenticazione del dominio DKIM/SPF è comunemente richiesta solo per la produzione e non è mai seguita per staging. Può sembrare che funzioni per mesi (utilizzando una policy DMARC indulgente o assente) e poi fallisca non appena la tua organizzazione rafforza l’applicazione di DMARC. Se durante la produzione si verificano solo errori nella gestione temporanea, richiedere l’autenticazione DKIM/SPF per l’ambiente di gestione temporanea in modo specifico, non presumere che sia già coperta dalla richiesta di produzione.

Verificare che i record DKIM/SPF siano stati propagati

Una volta richiesta e applicata l’autenticazione del dominio DKIM/SPF, verifica che i record siano stati effettivamente propagati in DNS prima di ripetere il test dell’allineamento di DMARC o di riaprire un caso. L’autenticazione del dominio SendGrid pubblica tre record CNAME per il sottodominio di invio: uno per il branding del collegamento (em) e due per le chiavi di firma DKIM (s1._domainkey, s2._domainkey).

dig CNAME em.yourdomain.com +short
dig CNAME s1._domainkey.yourdomain.com +short
dig CNAME s2._domainkey.yourdomain.com +short

Cosa cercare: Ogni comando deve restituire una destinazione CNAME che termina in .sendgrid.net. Se un comando non restituisce alcun elemento, il record non è ancora stato aggiunto o non è stato propagato. Esempio convalidato: la query su s1._domainkey.adobe.com e s2._domainkey.adobe.com restituisce:

s1.domainkey.uXXXXXXX.wlXXX.sendgrid.net.
s2.domainkey.uXXXXXXX.wlXXX.sendgrid.net.

Un risultato vuoto restituito dallo stesso controllo su em.adobe.com in questo esempio indica che il record specifico non è configurato. Richiederlo esplicitamente, anziché presupporre che sia stato incluso in una precedente richiesta DKIM/SPF. Se la risoluzione di un record persiste 24-48 ore dopo l’aggiunta, eseguire il follow-up del caso di supporto esistente anziché aprirne uno nuovo.

Scenario B: non esiste alcun record DMARC

Se il comando precedente non restituisce alcun risultato, nel dominio non sono presenti criteri di DMARC. In questo caso, oltre a configurare DKIM/SPF per lo scenario A, è necessario pubblicare anche un record DMARC. Avvia in modalità di monitoraggio, non di applicazione:

_dmarc.yourdomain.com   TXT   "v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com; pct=100"

Non passare direttamente a p=quarantine o p=reject prima di confermare i tuoi passaggi di posta legittimi, perché così facendo si potrebbe causare il rifiuto silenzioso della tua e-mail transazionale da parte dei server destinatari.

Lettura correlata