Google, Yahoo Push DMARC, Vállalatok felzárkóztatása

2024 februárjáig minden olyan vállalatnak, amely több mint 5,000 e-mail üzenetet küld a Google-on vagy a Yahoo-n keresztül, el kell kezdenie használni a DMARC (Domain-based Message Authentication Reporting and Conformance) néven ismert hitelesítési technológiát.

A követelményeket – jelentette be Google és a jehu ezen a héten – azonban sokkal messzebbre jut, mint a marketingesek, és felzárkóztatásra kényszerít minden olyan vállalatot, amely lemaradt a biztonsági technológiák triójának elfogadásában. A Sender Policy Framework-et (SPF) és a DomainKeys Identified Mail-t (DKIM) használó vállalatok a jobb hitelesítés révén védelmet kapnak a megszemélyesítéssel szemben, míg a DMARC egy értesítési csatornát hoz létre a domainnév tulajdonosa felé, hogy információkat gyűjtsön arról, hogy e-mailjeit hamisítják-e.

A két nagy szolgáltató követelményei arra késztethetnek több vállalatot, hogy alkalmazzák a DMARC-ot, amíg az elfogadás el nem éri azt a szintet, amelynél hatékonyabb biztonsági intézkedések válnak lehetővé – mondja Neil Kumaran, a Google Gmail Security & Trust csoportjának termékmenedzsere.

„Ha a DMARC-t az általunk kért módon alkalmazzuk, a feladók sok intelligenciát kapnak vissza, amely segít azonosítani a konfigurációjukkal kapcsolatos problémákat [és] azokat, amelyeket esetleg változtatni szeretnének” – mondja. "Tehát anyagi haszna van annak, ha a küldő elfogadja a DMARC-ot, és közösen gondolkodik ezekről a dolgokról."

Az e-mail biztonsági technológiák triója az elmúlt években felgyorsult, különösen a koronavírus-járvány idején, amikor a vállalatokat távoli műveletekre kényszerítették. Ennek eredményeként az e-mail küldők körülbelül fele rendelkezik DMARC-rekorddal, de csak 14%-uk állította be a DMARC-t szigorú karantén- vagy elutasítási politika érvényesítésére – ezt széles körben a végcélnak tekintik a Valimail, a DMARC-szolgáltató adatai szerint. A vállalatok körülbelül fele beállította DMARC-rekordját, hogy szigorú szabályokat érvényesítsen. Azonban csak a nonprofit domainek 1%-a be van állítva a DMARC.

A Google és a Yahoo követelményei jó kezdetnek számítanak, és a piac még nem áll készen a szigorúbb követelményekre. Seth Blank, a Valimail technológiai igazgatója azonban azt reméli, hogy a nagy e-mail-szolgáltatók gyorsan emelik a mércét.

„Szerintem ez teljesen fantasztikus, de szerintem nem megy elég messzire” – mondja. „Izgatottan várom, hogy megemelhessék a lécet, de most egy csomó bevált iparági gyakorlat áll rendelkezésünkre, amelyeket következetlenül alkalmaznak. Néhány nagy volumenű küldő jól csinálja, aztán mindenki más, ezért terjedt el a visszaélés az ökoszisztémában.”

Az e-mail biztonság alkalmazásának kiterjesztése

A Google blogbejegyzésében felvázolta követelményeit, beleértve az SPF- és DKIM-rekordokat az e-mail-küldő domainek hitelesítéséhez; egy DMARC rekord a tartományhoz; és egy „From” fejléc, amely megfelel az SPF- vagy DMARC-rekordnak (igazításként ismert). Ezenkívül a marketingszakembereknek 0.3% alatt kell lenniük a kéretlen levelek arányának, és lehetővé kell tenniük a leiratkozást egyetlen kattintással.

A Google az új szabályokat alkalmazza azokra, akik egy adott napon több mint 5,000 üzenetet küldenek Gmail-címekre. A Yahoo a követelményeket a „tömeges küldőkre” alkalmazza, de blogbejegyzése nem határozza meg, hogy mi minősül tömeges küldőnek. A követelményeknek a Google esetében 2024 februárjáig, a Yahoo esetében pedig „2024 első negyedévében” kell megfelelniük.

A Google bejelentése, valamint a Yahoo! megfelelő lépése azt jelenti, hogy a DMARC átvétele többé már nem javaslat – írta Len Shneyder, a Twilio SendGrid e-mail marketingszolgáltatás iparági kapcsolatokért felelős alelnöke. egy blog a hírekről.

„A Yahoo hírei alapján is ezt tekintheti az új normálisnak” – írta. „Az új követelmények változást jelentenek abban, ahogyan az iparág az e-mailek hitelesítését és a legjobb gyakorlatokat tekinti: az egykor ajánlások mára végrehajtható követelményrendszerré válik.”

A Google arra számít, hogy a követelmények az e-mail hitelesítés majdnem teljes átvételéhez vezetnek a platformján. Jelenleg a vállalat körülbelül 15 milliárd e-mailt dolgoz fel naponta, és a nem hitelesített üzenetek száma 75%-kal csökkent, mióta a vállalat megkövetelte, hogy minden üzenet valamilyen forma a hitelesítésről.

A hitelesítés csak a kezdet

A DMARC-követelmények célja annak biztosítása, hogy minden legitim e-mail DMARC-rekordot állítson be a DNS-szolgáltatásával, hitelesítési információkat biztosítva a fogadott e-mail üzenetek fejléceinek összehasonlításához. Szinte minden e-mail-szolgáltató visszaküldi a DMARC-igazítással kapcsolatos információkat a domain hiteles tulajdonosának.

Emiatt a források jobb azonosítása és az üzenetek erősebb azonosítása kulcsfontosságú az e-mail technológia fejlesztéséhez, mondja a Google Kumaran.

„A hitelesítés önmagában nem egy golyó a spam megállításához, de lehetővé teszi, hogy mindenki jobban megértse az áramló e-maileket” – mondja. „Arra számítok, hogy a szűrők elkezdik felvenni ezeket a mintákat, kihasználják a hitelesítés előnyeit, és jobb munkát végeznek – látnunk kell a hatásokat mindenhol.”

A feladó hitelesítését követően a biztonsági szolgáltatók és az e-mail szolgáltatók jobban ki tudják szűrni a rossz forgalmat, mondja Blank.

„Ön szabályozza, hogy ki jogosult az Ön nevében küldeni, ami azt jelenti, hogy mire az üzenet eljut bármely postafiók-szolgáltatóhoz, világszerte, a hitelesítés megtörténik, és ki tudják használni a DMARC előnyeit” mondja. „A meghamisított vagy hitelesített üzenetek soha nem kerülnek be a felhasználók postaládájába, így ezt a csorda immunitást és védelmet széles körben kapjuk meg, messze kívülre a Google-on és a Yahoo-n, ahol a követelmények vannak.”

Várható megoldások

Noha a követelmények valószínűleg minden törvényes marketingcéget arra késztetnek, hogy hangolják e-mail biztonsági beállításaikat, a vállalatoknak számítaniuk kell arra, hogy a rossz szereplők megtalálják a módját, hogy továbbra is spameket, adathalászatokat és rosszindulatú programokat küldjenek – mondja Raf Marconi, a Bishop Fox vezető tanácsadója.

„Egy rosszindulatú szereplő vagy a küszöbérték alatt maradhat, vagy legitim szolgáltatásokat vehet igénybe, hogy elkerülje a követelmények hatását” – mondja, hozzátéve: „Ezeknek az új követelményeknek hatással kell lenniük a spam és adathalászat szintjére, de nehéz felmérni. mennyivel a követelmények bevezetése előtt, és ez a DKIM, SPF és DMARC megfelelő megvalósításától is függ."

A Cloudflare internetes szolgáltató cég egy közelmúltbeli jelentésében ezt találta Az üzenetek 89%-a spamként blokkolva helyes SPF-, DKIM- vagy DMARC-információkkal rendelkezett, hangsúlyozva, hogy a technológiák részét képezik az egyenletnek, de nem a teljes megoldást, mondja Oren Falkowitz, a Cloudflare helyi civil igazgatója.

„Ezért hiábavaló kizárólag olyan szabványokra hagyatkozni, amelyek nyomon követik a küldő adatait a kampányok észlelése és leállítása érdekében” – mondja. „A valódi károk megoldása érdekében a biztonsági csapatoknak azonosítaniuk kell a hasznos terheket, fájlokat, hivatkozásokat és rosszindulatú kéréseket, amelyek adathalászatot tartalmaznak és károkat okoznak.”

Valimail Blank megerősítette ezt.

„A rossz színészek általában az elsők, akik követik a legjobb gyakorlatokat” – mondja. „Az a feltételezés, hogy az SPF, DKIM vagy DMARC azt jelenti, hogy a levél jó, téves. Ezek azt jelentik, hogy tudjuk, kitől érkezett a levél, és ez kritikus a hírnévvel kapcsolatos döntések meghozatalában.”

• SEO által támogatott tartalom és PR terjesztés. Erősödjön még ma.
• PlatoData.Network Vertical Generative Ai. Erősítse meg magát. Hozzáférés itt.
• PlatoAiStream. Web3 Intelligence. Felerősített tudás. Hozzáférés itt.
• PlatoESG. Carbon, CleanTech, Energia, Környezet, Nap, Hulladékgazdálkodás. Hozzáférés itt.
• PlatoHealth. Biotechnológiai és klinikai vizsgálatok intelligencia. Hozzáférés itt.
• Forrás: https://www.darkreading.com/dr-tech/google-yahoo-push-dmarc-forcing-companies-to-catch-up