SPF, DKIM ও DMARC সহজ ভাষায় (এবং পাঁচ মিনিটে নিজেরগুলো যাচাই করার উপায়)

ডেলিভারেবিলিটির কথা এলেই তিনটি সংক্ষিপ্ত রূপ ফিরে ফিরে আসে: SPF, DKIM, DMARC। বেশিরভাগ সময় এগুলো একবার কনফিগার করা হয়, হোস্টিং প্রোভাইডারের সহায়তা পেজে পাওয়া কয়েকটি লাইন কপি করে, তারপর ভুলে যাওয়া হয়। যতদিন না ইমেইলগুলো স্প্যামে যেতে শুরু করে আর কেউ আর ঠিকঠাক মনে করতে পারে না কী কী সেট করা হয়েছিল।

অথচ এই তিনটি ব্যবস্থা আপনার ইমেইল গ্রহণকারী প্রতিটি সার্ভারের একটি সহজ প্রশ্নের উত্তর দেয়: «এই বার্তাটি কি সত্যিই তার কাছ থেকে আসছে, যে বলে দাবি করা হচ্ছে?» স্পষ্ট উত্তর না থাকলে বার্তাটিকে সন্দেহজনক হিসেবে ধরা হয়।

কেন এটি বাধ্যতামূলক হয়ে গেছে

অনেকদিন ধরেই এই রেকর্ডগুলো জোরালোভাবে সুপারিশ করা হতো। এখন এগুলো বাধ্যতামূলক। ২০২৪ সালের ফেব্রুয়ারিতে Gmail ও Yahoo বড় পরিসরে ইমেইল পাঠানো সেন্ডারদের উপর বাধ্যতামূলক করেছে বৈধ SPF ও DKIM, একটি প্রকাশিত DMARC পলিসি, এক ক্লিকে আনসাবস্ক্রাইব লিংক এবং অভিযোগের কম হার। Microsoft outlook.com-এর জন্য তুলনামূলক শর্ত ঘোষণা করেছে, যা ২০২৫ সালের মে থেকে কার্যকর।

সরকারিভাবে নির্ধারিত সীমাগুলো বড় সেন্ডারদের কথা মাথায় রেখে, কিন্তু বাস্তবে সঠিক প্রমাণীকরণ ছাড়া একটি ডোমেইনের বার্তাগুলো ওই পরিমাণে পৌঁছানোর অনেক আগেই ফিল্টার হয়ে যায়। প্রসপেক্টিংয়ের জন্য এই তিনটি রেকর্ডকেই ন্যূনতম হিসেবে ধরে নিতে হবে।

SPF : অনুমোদিত সার্ভারগুলোর তালিকা

SPF (Sender Policy Framework) হলো আপনার ডোমেইনের DNS-এ প্রকাশিত একটি লাইন। এটি বলে: «এই ডোমেইনের ইমেইল কেবল এই সার্ভারগুলো থেকেই যেতে পারে»। যখন কোনো সার্ভার আপনার ডোমেইনের নামে স্বাক্ষরিত একটি বার্তা পায়, সে যাচাই করে যে প্রেরক সার্ভারটি তালিকায় আছে কি না।

একটি SPF রেকর্ড দেখতে এমন:

v=spf1 include:_spf.mail.hostinger.com ~all

এটি বাঁ দিক থেকে ডান দিকে পড়ুন: ভার্সন, তারপর অনুমোদিত সার্ভারগুলো (এখানে হোস্টিং প্রোভাইডারের), তারপর বাকিগুলোর ক্ষেত্রে কী করতে হবে। শেষের «~all» বলছে অন্য সার্ভারগুলোকে সন্দেহের চোখে দেখতে, তবে প্রত্যাখ্যান করতে হবে না, যা একটি সতর্ক পছন্দ।

সবচেয়ে সাধারণ ভুলগুলো:

• একই ডোমেইনে দুটি SPF রেকর্ড: এটি নিষিদ্ধ, আর ফলাফল হয়ে যায় অকার্যকর। দুটিকে এক লাইনে মিলিয়ে ফেলতে হবে;
• একটি সার্ভিস ভুলে যাওয়া: আপনি কোনো থার্ড-পার্টি সফটওয়্যার থেকে ইনভয়েসও পাঠান, কিন্তু সেটি তালিকায় নেই;
• অতিরিক্ত «include»: SPF DNS লুকআপের সংখ্যা দশে সীমাবদ্ধ করে। এর বেশি হলে রেকর্ডটি ব্যর্থ হয়।

DKIM : বার্তার স্বাক্ষর

DKIM (DomainKeys Identified Mail) প্রতিটি ইমেইলে একটি এনক্রিপ্ট করা স্বাক্ষর যোগ করে। প্রেরক সার্ভার একটি প্রাইভেট কী দিয়ে স্বাক্ষর করে, আর সংশ্লিষ্ট পাবলিক কী আপনার DNS-এ প্রকাশ করা থাকে। প্রাপক স্বাক্ষরটি যাচাই করে: বৈধ হলে সে জানে বার্তাটি সত্যিই আপনার ডোমেইন থেকে এসেছে এবং পথে সেটি পরিবর্তিত হয়নি।

পাবলিক কীটি থাকে একটি নির্দিষ্ট DNS ঠিকানায়, যা তৈরি হয় আপনার হোস্টিং প্রোভাইডারের বেছে নেওয়া একটি «সিলেক্টর» দিয়ে, যেমন:

hostingermail1._domainkey.votredomaine.fr

এখানেই বেশিরভাগ DKIM সমস্যা লুকিয়ে থাকে: অসম্পূর্ণভাবে কপি করা একটি কী (এগুলো বেশ লম্বা), সার্ভারটি আসলে যে সিলেক্টর ব্যবহার করে তার থেকে আলাদা সিলেক্টর, বা কখনোই প্রকাশ না করা একটি কী, কারণ হোস্টিং প্রোভাইডার ম্যানুয়াল অ্যাক্টিভেশনের অপেক্ষায় ছিল। একমাত্র নির্ভরযোগ্য যাচাই হলো একটি সত্যিকারের ইমেইল পাঠিয়ে গন্তব্যে পৌঁছানোর পর তার হেডার দেখা।

DMARC : ব্যর্থ হলে কী করতে হবে তার নির্দেশ

DMARC (Domain-based Message Authentication, Reporting and Conformance) আগের দুটিকে যুক্ত করে। এটি গ্রহণকারী সার্ভারকে বলে: «কোনো বার্তা যদি আমার ডোমেইন থেকে এসেছে বলে দাবি করে কিন্তু SPF ও DKIM-এ ব্যর্থ হয়, তাহলে তুমি এর সঙ্গে এই আচরণ করো»। এটি আপনার নামে পাঠানো বার্তাগুলোর রিপোর্ট পাওয়ার সুযোগও দেয়।

শুরুর একটি DMARC রেকর্ড দেখতে এমন:

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr

«p=none» মানে: কিছু ব্লক করো না, তবে রিপোর্ট পাঠাও। এটি Gmail ও Yahoo-র দাবি করা ন্যূনতম পলিসি, এবং শুরুর জন্য ভালো একটি জায়গা। একবার নিশ্চিত হয়ে গেলে যে আপনার সব বৈধ প্রেরণ প্রমাণীকরণে উত্তীর্ণ হয়, আপনি «p=quarantine»-এ যেতে পারেন (অপ্রমাণিত বার্তা স্প্যামে ফেলা), তারপর দরকার হলে «p=reject»।

একটি সূক্ষ্ম বিষয়: DMARC দাবি করে যে SPF বা DKIM দিয়ে প্রমাণিত ডোমেইনটি যেন প্রেরকের ঠিকানায় দেখানো ডোমেইনের সঙ্গেই এক হয়। এটাকেই বলে অ্যালাইনমেন্ট। paul@votredomaine.fr থেকে পাঠানো একটি ইমেইল যদি আপনার হোস্টিং প্রোভাইডারের টেকনিক্যাল ডোমেইন দিয়ে DKIM স্বাক্ষরিত হয়, তাহলে সেটি DKIM পাস করেও DMARC-এ ব্যর্থ হতে পারে।

পাঁচ মিনিটে আপনার রেকর্ডগুলো যাচাই করুন

আপনাকে সিস্টেম অ্যাডমিনিস্ট্রেটর হতে হবে না। তিনটি যাচাইই যথেষ্ট:

1. অনলাইনে কোনো DNS লুকআপ টুল দিয়ে আপনার ডোমেইনের TXT রেকর্ডগুলো দেখুন। «v=spf1» দিয়ে শুরু হওয়া কেবল একটি লাইন এবং _dmarc.votredomaine.fr ঠিকানায় একটি «v=DMARC1» লাইন পাওয়া উচিত।
2. সংশ্লিষ্ট মেইলবক্স থেকে একটি ব্যক্তিগত Gmail ঠিকানায় ইমেইল পাঠান, সেটি খুলুন এবং মূল বার্তাটি দেখুন। Gmail স্পষ্টভাবে «SPF : PASS», «DKIM : PASS» ও «DMARC : PASS» দেখায়, সঙ্গে প্রতিটির জন্য ব্যবহৃত ডোমেইন।
3. DKIM-এর জন্য দেখানো ডোমেইনটি সত্যিই আপনার, হোস্টিং প্রোভাইডারের নয়, তা যাচাই করুন।

SmartOutbound-এ এই যাচাই স্বয়ংক্রিয়ভাবে হয়: প্রতিটি ডোমেইন প্রতিদিন যাচাই করা হয়, একটি মেইলবক্স সংযুক্ত করার সময় পাঠানো টেস্ট ইমেইল গন্তব্যে পৌঁছানোর পর প্রকৃতপক্ষে যে DKIM স্বাক্ষর পাওয়া যায় তা নিশ্চিত করে, আর মেইলবক্স পেজের «DNS যাচাই করুন» বোতামটি চাহিদামতো যাচাই আবার চালু করে। যদি DMARC অনুপস্থিত থাকে এবং আপনার ডোমেইন Hostinger-এ থাকে, তাহলে টুলটি আপনার হয়ে সেটি যোগও করে দিতে পারে।

বাকিটা?

এই তিনটি রেকর্ড নিশ্চিত করে না যে আপনার ইমেইল ইনবক্সে পৌঁছাবে। তারা কেবল নিশ্চিত করে যে এড়ানো সম্ভব এমন কোনো টেকনিক্যাল কারণে সেগুলো প্রত্যাখ্যাত হবে না। এরপর নির্ভর করে আপনার ডোমেইনের সুনাম, আপনার তালিকার গুণমান এবং আপনার বার্তার বিষয়বস্তুর উপর। নতুন ডোমেইনের ক্ষেত্রে ওয়ার্মআপের সময়কাল-ও হিসেব করতে হবে। আর যদি আপনি নিজের প্রধান ডোমেইন থেকে প্রসপেক্টিং করতে দ্বিধায় থাকেন, ডেডিকেটেড ডোমেইন নিয়ে আমাদের নিবন্ধ সিদ্ধান্ত নিতে সাহায্য করবে।