O que eu faço quando meus e-mails do Amazon SES apresentam na validação do DMARC para alinhamento SPF ou alinhamento DKIM?

Breve descrição

Para o alinhamento SPF e DKIM, você deve atender ao alinhamento estrito ou ao alinhamento flexível.

Para verificar o alinhamento SPF, o DMARC combina o domínio Enviado de ou Envelope de com o domínio De. O alinhamento estrito ocorre quando o domínio Enviado de ou Envelope de é igual ao domínio De. O alinhamento flexível ocorre quando o domínio Enviado de ou Envelope de é um subdomínio do domínio De.

Para verificar o alinhamento DKIM, o DMARC combina o domínio d= na assinatura DKIM com o domínio De. O alinhamento estrito ocorre quando o domínio d= é igual ao domínio De. O alinhamento flexível ocorre quando o domínio d= é um subdomínio do domínio De.

Resolução

Usar alinhamento relaxado para SPF ou DKIM em seu registro DMARC

Para ajudar seus e-mails a passarem pela validação do DMARC, use um alinhamento flexível.

Para determinar o alinhamento DMARC do seu domínio para SPF e DKIM, execute o seguinte comando:

nslookup -type=TXT _dmarc.example.com

O comando retorna seu registro DMARC, semelhante ao seguinte:

"v=DMARC1;p=quarantine;pct=25;rua=mailto:hello@example.com"

Para autenticação SPF, se o registro não incluir uma tag aspf ou incluir a string aspf=r, seu domínio usará um alinhamento flexível. O exemplo anterior não inclui uma tag aspf, então o domínio de exemplo usa um alinhamento flexível. Se o registro incluir a string aspf=s, seu domínio usará um alinhamento estrito.

Para DKIM, se o registro não incluir uma tag adkim ou incluir a string adkim=r, seu domínio usará um alinhamento flexível. Se o registro incluir a string adkim=s, seu domínio usará um alinhamento estrito.

A mudança do alinhamento estrito para o alinhamento flexível deve ser feita somente pelo administrador do sistema.

Cumprir com o DMARC através da autenticação SPF

Para garantir que as mensagens estejam em conformidade com o DMARC por meio da autenticação SPF, verifique as seguintes configurações:

• Seu registro SPF do domínio ENVIADO DE deve conter include:amazonses.com.
• O domínio ENVIADO DE que o servidor de envio de e-mail especifica para o servidor de e-mail receptor corresponde ao endereço DE no cabeçalho do e-mail.

Quando você usa o Amazon SES para enviar e-mails, o domínio ENVIADO DE é, por padrão, um subdomínio da amazonses.com. Seu domínio De é o domínio do qual você envia o e-mail. Se o domínio ENVIADO DE não corresponder ao domínio De, o alinhamento SPF falhará na validação do DMARC.

Para resolver esse problema, você deve configurar um domínio ENVIADO DE personalizado na identidade verificada da qual você envia e-mails. Os domínios ENVIADO DE personalizados são sempre subdomínios do domínio principal. Por exemplo, se seu domínio verificado (o domínio De) for exemplo.com, você poderá configurar o domínio personalizado ENVIADO DE como mail.exemplo.com.

A autenticação SPF verifica o domínio ENVIADO DE, então adicione o registro SPF em seu subdomínio ENVIADO DE personalizado no Amazon SES. Como os domínios ENVIADO DE personalizados são subdomínios, seus subdomínios devem usar uma política flexível para SPF (aspr=r).

Cumprir com o DMARC através da autenticação DKIM

Para garantir que suas mensagens estejam em conformidade com o DMARC por meio da autenticação DKIM, verifique as seguintes configurações:

• A mensagem tem uma assinatura DKIM válida e passa pela verificação DKIM.
• O endereço De no cabeçalho do e-mail corresponde ao domínio d= da assinatura DKIM.

Ao usar o Easy DKIM no Amazon SES, você recebe três registros CNAME. Para verificar os registros DKIM, execute o seguinte comando em cada um dos registros CNAME:

nslookup -type=CNAME example1._domainkey.example.com

Observação: substitua example1._domainkey.exemplo.com pelo nome do seu registro CNAME.

O comando retorna o registro DKIM:

example1.dkim.amazonses.com.

É uma prática recomendada usar o Easy DKIM porque é possível atender aos dois requisitos de validação do DMARC por meio do DKIM. Também é possível optar por assinar manualmente seus e-mails, mas o Amazon SES não valida a assinatura DKIM.