SPF, DKIM और DMARC: सरल भाषा में समझाया गया (और अपने पांच मिनट में कैसे जांचें)

डिलीवरेबिलिटी की चर्चा होते ही तीन संक्षिप्त नाम सामने आते हैं: SPF, DKIM, DMARC। अक्सर इन्हें एक बार सेट कर दिया जाता है, अपने होस्टिंग प्रोवाइडर की हेल्प में मिली लाइनें कॉपी करके, और फिर भुला दिया जाता है। फिर वह दिन आता है जब ईमेल स्पैम में चले जाते हैं और किसी को ठीक से याद नहीं रहता कि आखिर क्या सेट किया गया था।

लेकिन ये तीनों तंत्र एक सरल सवाल का जवाब देते हैं जो हर वह सर्वर खुद से पूछता है जिसे आपका ईमेल मिलता है: «क्या यह संदेश वाकई उसी की ओर से आया है जिसका होने का दावा यह करता है?» स्पष्ट जवाब न मिलने पर संदेश को संदिग्ध मान लिया जाता है।

यह अनिवार्य क्यों हो गया

लंबे समय तक ये रिकॉर्ड सख्ती से सलाह दिए जाते थे। अब इन्हें अनिवार्य किया गया है। फरवरी 2024 में, Gmail और Yahoo ने बड़ी मात्रा में ईमेल भेजने वाले प्रेषकों के लिए अनिवार्य किया कि उनके पास मान्य SPF और DKIM हों, एक प्रकाशित DMARC नीति हो, एक-क्लिक अनसब्सक्राइब लिंक हो और शिकायतों की दर कम हो। Microsoft ने Outlook.com के लिए मई 2025 से लागू होने वाली इसी तरह की शर्तों की घोषणा की।

आधिकारिक सीमाएं बड़े प्रेषकों को ध्यान में रखकर बनी हैं, लेकिन वास्तविकता यह है कि सही ऑथेंटिकेशन न होने पर किसी भी डोमेन के संदेश उन मात्राओं तक पहुंचने से बहुत पहले ही फ़िल्टर होने लगते हैं। प्रॉस्पेक्टिंग के लिए, इन तीनों रिकॉर्ड को न्यूनतम मानना चाहिए।

SPF: अधिकृत सर्वरों की सूची

SPF (Sender Policy Framework) एक लाइन है जो आपके डोमेन के DNS में प्रकाशित होती है। यह कहती है: «इस डोमेन के ईमेल सिर्फ इन्हीं सर्वरों से जा सकते हैं»। जब किसी सर्वर को आपके डोमेन से हस्ताक्षरित संदेश मिलता है, तो वह जांचता है कि भेजने वाला सर्वर सूची में मौजूद है या नहीं।

एक SPF रिकॉर्ड कुछ ऐसा दिखता है:

v=spf1 include:_spf.mail.hostinger.com ~all

इसे बाएं से दाएं पढ़ें: वर्ज़न, फिर अधिकृत सर्वर (यहां होस्टिंग प्रोवाइडर के), फिर बाकी के साथ क्या करना है। अंत में «~all» का मतलब है बाकी सर्वरों को संदेह की नज़र से देखा जाए लेकिन अस्वीकार न किया जाए, जो एक सतर्क विकल्प है।

सबसे आम गलतियां:

• एक ही डोमेन पर दो SPF रिकॉर्ड: यह मना है, और नतीजा अमान्य हो जाता है। दोनों को एक ही लाइन में मिलाना होगा;
• कोई सेवा छूट गई: आप किसी तीसरे सॉफ्टवेयर से इनवॉइस भी भेजते हैं, लेकिन वह सूची में नहीं है;
• बहुत ज़्यादा «include»: SPF DNS लुकअप की संख्या दस तक सीमित करता है। इससे ज़्यादा होने पर रिकॉर्ड विफल हो जाता है।

DKIM: संदेश का हस्ताक्षर

DKIM (DomainKeys Identified Mail) हर ईमेल में एक एन्क्रिप्टेड हस्ताक्षर जोड़ता है। भेजने वाला सर्वर एक निजी कुंजी (private key) से हस्ताक्षर करता है, और उससे जुड़ी सार्वजनिक कुंजी (public key) आपके DNS में प्रकाशित की जाती है। प्राप्तकर्ता हस्ताक्षर जांचता है: अगर यह मान्य है, तो उसे पता चल जाता है कि संदेश वाकई आपके डोमेन से आया है और रास्ते में उसमें बदलाव नहीं हुआ।

सार्वजनिक कुंजी एक खास DNS पते पर मिलती है, जो आपके होस्टिंग प्रोवाइडर द्वारा चुने गए «सेलेक्टर» से बनाया जाता है, जैसे:

hostingermail1._domainkey.votredomaine.fr

DKIM की ज़्यादातर समस्याएं यहीं छिपी होती हैं: अधूरी कॉपी की गई कुंजी (ये लंबी होती हैं), सर्वर वास्तव में जिस सेलेक्टर का इस्तेमाल करता है उससे अलग सेलेक्टर, या ऐसी कुंजी जो कभी प्रकाशित ही नहीं हुई क्योंकि होस्टिंग प्रोवाइडर मैन्युअल एक्टिवेशन का इंतज़ार कर रहा था। एकमात्र भरोसेमंद जांच यह है कि एक असली ईमेल भेजें और पहुंचने पर उसका हेडर देखें।

DMARC: विफलता की स्थिति में निर्देश

DMARC (Domain-based Message Authentication, Reporting and Conformance) पिछले दोनों को जोड़ता है। यह प्राप्त करने वाले सर्वर से कहता है: «अगर कोई संदेश मेरे डोमेन से होने का दावा करता है लेकिन SPF और DKIM में विफल रहता है, तो तुम्हें उसके साथ यह करना है»। यह आपके नाम से भेजे गए संदेशों की रिपोर्ट पाने की सुविधा भी देता है।

शुरुआती DMARC रिकॉर्ड कुछ ऐसा दिखता है:

v=DMARC1; p=none; rua=mailto:dmarc@votredomaine.fr

«p=none» का मतलब है: कुछ भी ब्लॉक न करें, लेकिन रिपोर्ट भेजें। यह Gmail और Yahoo की मांगी गई न्यूनतम नीति है, और एक अच्छी शुरुआत है। जब आपको भरोसा हो जाए कि आपके सभी वैध ईमेल ऑथेंटिकेशन पास कर रहे हैं, तो आप «p=quarantine» पर जा सकते हैं (बिना ऑथेंटिकेशन वाले संदेशों को स्पैम में डालना), और फिर ज़रूरत पड़ने पर «p=reject» पर।

एक बारीक बात: DMARC चाहता है कि SPF या DKIM से प्रमाणित डोमेन वही हो जो भेजने वाले पते में दिखता है। इसे अलाइनमेंट कहते हैं। paul@votredomaine.fr से भेजा गया ईमेल अगर आपके होस्टिंग प्रोवाइडर के तकनीकी डोमेन से DKIM-हस्ताक्षरित है, तो वह DKIM पास कर सकता है और फिर भी DMARC में विफल हो सकता है।

अपने रिकॉर्ड पांच मिनट में जांचें

आपको सिस्टम एडमिनिस्ट्रेटर होने की ज़रूरत नहीं है। तीन जांचें काफी हैं:

1. किसी ऑनलाइन DNS लुकअप टूल से अपने डोमेन के TXT रिकॉर्ड देखें। आपको «v=spf1» से शुरू होने वाली एक ही लाइन मिलनी चाहिए, और _dmarc.votredomaine.fr पते पर «v=DMARC1» वाली एक लाइन।
2. संबंधित मेलबॉक्स से अपने निजी Gmail पते पर एक ईमेल भेजें, उसे खोलें और ओरिजिनल मैसेज दिखाएं। Gmail साफ-साफ «SPF : PASS», «DKIM : PASS» और «DMARC : PASS» दिखाता है, हर एक के लिए इस्तेमाल हुए डोमेन के साथ।
3. जांचें कि DKIM के लिए बताया गया डोमेन वाकई आपका है, होस्टिंग प्रोवाइडर का नहीं।

SmartOutbound में यह जांच अपने आप होती है: हर डोमेन रोज़ जांचा जाता है, किसी मेलबॉक्स को कनेक्ट करते समय भेजा गया टेस्ट ईमेल पहुंचने पर वास्तव में दिखने वाले DKIM हस्ताक्षर की पुष्टि करता है, और मेलबॉक्स पेज का «DNS जांचें» बटन मांग पर जांच दोबारा चलाता है। अगर DMARC नहीं है और आपका डोमेन Hostinger पर है, तो टूल इसे आपके लिए जोड़ भी सकता है।

और बाकी?

ये तीन रिकॉर्ड गारंटी नहीं देते कि आपके ईमेल इनबॉक्स में पहुंचेंगे। वे सिर्फ इतना सुनिश्चित करते हैं कि किसी ऐसी तकनीकी वजह से वे अस्वीकार न हों जिसे टाला जा सकता था। आगे सब कुछ आपके डोमेन की प्रतिष्ठा, आपकी सूचियों की गुणवत्ता और आपके संदेशों की सामग्री पर निर्भर करता है। नए डोमेन के लिए वार्मअप का समय भी जोड़ना होगा। और अगर आप अपने मुख्य डोमेन से प्रॉस्पेक्टिंग करने में झिझक रहे हैं, तो समर्पित डोमेन पर हमारा लेख आपको फैसला लेने में मदद करेगा।