संक्षिप्त उत्तर
SPF, DKIM और DMARC में क्या अंतर है?
SPF उन सर्वरों की सूची देता है जिन्हें आपके डोमेन की ओर से मेल भेजने की अनुमति है, DKIM हर संदेश में एक क्रिप्टोग्राफ़िक हस्ताक्षर जोड़ता है, और DMARC प्राप्तकर्ताओं को बताता है कि दोनों जाँचें From पते से मेल न खाएँ तो क्या करें। Postelva तीनों को DNS रिकॉर्ड के रूप में होस्ट करता है, $12.49/साल प्रति वर्ष के .com पर, मुफ़्त DNS के साथ।
SPF, DKIM और DMARC साथ-साथ
| बिंदु | SPF | DKIM | DMARC |
|---|---|---|---|
| यह क्या जाँचता है | उस सर्वर का IP पता जो संदेश डिलीवर करता है | भेजने वाले डोमेन की निजी कुंजी से बना हस्ताक्षर | कि SPF या DKIM पास हुआ और From पते के डोमेन से मेल खाता है |
| DNS में यह कहाँ रहता है | डोमेन नाम पर TXT रिकॉर्ड, जो v=spf1 से शुरू होता है | selector._domainkey.domain पर सार्वजनिक कुंजी (TXT, या प्रदाता की कुंजी की ओर CNAME) | _dmarc.domain पर TXT रिकॉर्ड, जो v=DMARC1 से शुरू होता है |
| इसे कौन प्रकाशित करता है | डोमेन का मालिक, प्रदाता के include से | कुंजियाँ प्रदाता बनाता है; मालिक उन्हें प्रकाशित करता है | केवल डोमेन का मालिक |
| Standard | RFC 7208 (प्रस्तावित मानक) | RFC 6376 (इंटरनेट मानक, STD 76) | RFC 9989 (प्रस्तावित मानक, मई 2026, RFC 7489 की जगह) |
| रिकॉर्ड की संख्या | प्रति डोमेन एक, कभी दो नहीं | प्रति सेलेक्टर एक: Proton Mail और Fastmail के लिए 3, Mailbox.org के लिए 4 | प्रति डोमेन एक |
| मुख्य सीमा | अधिकतम 10 DNS लुकअप | हस्ताक्षर करने वालों के लिए कम से कम 1024 बिट की कुंजी | मिलान वाले पहचानकर्ता के साथ पास होना चाहिए |
| रिपोर्ट देता है | नहीं | नहीं | हाँ, rua पते पर समग्र रिपोर्ट |
अंतिम जाँच को; पुराने आँकड़ों की अपनी तारीख होती है
SPF क्या करता है?
SPF एक प्रश्न का उत्तर देता है: क्या वह सर्वर जिसने यह संदेश डिलीवर किया, इस डोमेन की ओर से भेजने के लिए अधिकृत है? डोमेन का मालिक एक TXT रिकॉर्ड प्रकाशित करता है जो v=spf1 से शुरू होता है और अनुमत स्रोत सूचीबद्ध करता है, जैसे Proton Mail के लिए include:_spf.protonmail.ch। प्राप्तकर्ता जुड़ने वाले IP पते की सूची से तुलना करता है और परिणाम देता है: pass, fail, softfail या neutral, अंत के क्वालिफ़ायर (-all, ~all या ?all) पर निर्भर।
SPF लिफ़ाफ़े के प्रेषक (MAIL FROM) और HELO नाम की जाँच करता है, उस From पते की नहीं जो पाठक देखता है। यही अंतर DMARC के अस्तित्व का कारण है। SPF की कठोर सीमाएँ भी हैं: डोमेन पर केवल एक SPF रिकॉर्ड हो सकता है, और 10 DNS-क्वेरी करने वाले तत्वों (include, a, mx, ptr, exists, redirect) के बाद मूल्यांकन स्थायी त्रुटि पर रुक जाता है। पूरी विधि SPF रिकॉर्ड बनाने की गाइड में है।
DKIM क्या करता है?
DKIM एक अलग प्रश्न का उत्तर देता है: क्या यह संदेश उसी डोमेन ने हस्ताक्षरित किया जिसका वह दावा करता है, और क्या वह बिना बदले पहुँचा? भेजने वाला सर्वर चुने हुए हेडर और बॉडी पर एक निजी कुंजी से हस्ताक्षर करता है। प्राप्तकर्ता DKIM-Signature हेडर से हस्ताक्षर करने वाला डोमेन (d=) और सेलेक्टर (s=) पढ़ता है, DNS में selector._domainkey.domain पर सार्वजनिक कुंजी लाता है और हस्ताक्षर की जाँच करता है।
क्योंकि हस्ताक्षर संदेश के साथ चलता है, DKIM उस फ़ॉरवर्ड से बचता है जो संदेश को बरकरार छोड़ता है, जबकि SPF नहीं बचता, क्योंकि फ़ॉरवर्डर अपने IP पते से भेजता है। RFC 6376 कहता है कि लंबी अवधि की कुंजियों के लिए हस्ताक्षरकर्ताओं को कम से कम 1024 बिट के RSA कुंजी उपयोग करनी चाहिए, और कुंजी बदलने पर नए सेलेक्टर की सिफ़ारिश करता है। प्रदाता कुंजियाँ आपके लिए प्रकाशित करते हैं: Proton Mail और Fastmail के लिए तीन CNAME रिकॉर्ड, Mailbox.org के लिए चार। विवरण DKIM कैसे सेट करें की गाइड में हैं।
DMARC क्या करता है?
DMARC SPF और DKIM को दिखने वाले From डोमेन से जोड़ता है, और बताता है कि दोनों में से कोई जाँच मेल न खाए तो प्राप्तकर्ता क्या करें। संदेश DMARC पास करता है जब SPF या DKIM पास हो और जिस डोमेन को उसने प्रमाणित किया वह From डोमेन से मेल खाए। मिलान डिफ़ॉल्ट रूप से ढीला होता है (वही संगठनात्मक डोमेन) और aspf=s या adkim=s से सेट होने पर सख़्त।
रिकॉर्ड _dmarc.yourdomain पर रहता है और उसमें एक नीति होती है: p=none (केवल निगरानी), p=quarantine (संदिग्ध मानना) या p=reject (अस्वीकार)। rua पता समग्र रिपोर्ट पाता है, जो दिखाती हैं कि आपके नाम पर कौन मेल भेजता है। RFC 9989, जो मई 2026 में प्रकाशित हुआ, वर्तमान विनिर्देश है; वह RFC 7489 को अप्रचलित करता है, pct टैग हटाता है और एक t टेस्ट फ़्लैग जोड़ता है। निगरानी से अस्वीकृति तक का रोलआउट DMARC सेट करने की गाइड में है।
क्या मुझे तीनों चाहिए?
हाँ: जो कस्टम डोमेन मेल भेजता है उसे SPF, DKIM और DMARC प्रकाशित करने चाहिए, क्योंकि बड़े प्राप्तकर्ता इन्हें माँगते हैं। Google के भेजने वाले दिशानिर्देश Gmail खातों को 5,000 संदेश प्रतिदिन से ऊपर भेजने वालों से SPF, DKIM और DMARC रिकॉर्ड माँगते हैं (नीति none भी पर्याप्त है)। Microsoft 5 मई 2025 से Outlook.com पर 5,000 प्रतिदिन से ऊपर भेजने वालों से वही तीन माँगता है, और Yahoo थोक भेजने वालों से SPF, DKIM और DMARC माँगता है।
एक निजी मेलबॉक्स इतने कम संदेश भेजता है कि सीमाएँ उस पर लागू नहीं होतीं। फिर भी ये रिकॉर्ड तय करते हैं कि आपका मेल इनबॉक्स तक पहुँचे, और वे दूसरों को आपके पते की जालसाज़ी करने से रोकते हैं। Postelva की 12 नवंबर 2026 की प्रदाता सहायता पृष्ठों से गिनती के अनुसार, पूरे Proton Mail सेटअप में 8 DNS रिकॉर्ड लगते हैं और पूरे Mailbox.org सेटअप में 11, जिनमें से 3 और 4 DKIM कुंजियाँ हैं। MX रिकॉर्ड MX रिकॉर्ड क्या है में हैं।
कौन सी गलतियाँ तीनों रिकॉर्ड तोड़ती हैं?
तीन गलतियाँ अधिकतर विफलताओं का कारण हैं: दूसरा SPF रिकॉर्ड, 10 से अधिक लुकअप, और बहुत जल्दी बहुत सख़्त DMARC नीति। जिस डोमेन पर दो SPF रिकॉर्ड हों, वह स्थायी त्रुटि लौटाता है, इसलिए नए प्रदाता का include मौजूदा रिकॉर्ड में जोड़ें। मेल होस्ट, न्यूज़लेटर टूल और हेल्पडेस्क को एक साथ जोड़ने से लुकअप की गिनती 10 से ऊपर जा सकती है, और तब रिकॉर्ड हर भेजने वाले के लिए विफल होता है। Mailbox.org और Proton दोनों सलाह देते हैं कि DMARC p=none से शुरू करें, और Mailbox.org चेतावनी देता है कि जल्दी लागू की गई सख़्त नीति वैध मेल को वापस भेज सकती है।
चौथी गलती है पिछले प्रदाता की DKIM और SPF प्रविष्टियाँ महीनों तक रहने देना। वे डिलीवरी को नुकसान नहीं पहुँचातीं, पर उन सर्वरों की सूची चौड़ी करती हैं जिन्हें आपकी ओर से बोलने की अनुमति है। स्थानांतरण की पुष्टि होने पर उन्हें हटाएँ।
एक ही संदेश पर तीनों एक साथ कैसे काम करते हैं?
प्राप्तकर्ता SPF और DKIM चलाता है, फिर DMARC परिणामों को मिलाता है। मान लें आप [email protected] से Proton Mail के माध्यम से संदेश भेजते हैं। SPF पास होता है यदि जुड़ने वाला सर्वर _spf.protonmail.ch की सूची में है। DKIM पास होता है यदि yourname.com की कुंजी से बना हस्ताक्षर सत्यापित होता है। DMARC तब पूछता है कि क्या दोनों में से कम से कम एक, yourname.com के मिलान वाले पहचानकर्ता के साथ, पास हुआ। यदि हाँ, तो संदेश पास होता है; यदि नहीं, तो प्राप्तकर्ता आपकी नीति लागू करता है और परिणाम अगली समग्र रिपोर्ट में दर्ज करता है।
RFC 9989 बताता है कि p=reject वाले डोमेन को अकेले SPF पर निर्भर नहीं होना चाहिए और DKIM से हस्ताक्षर करना चाहिए, क्योंकि SPF फ़ॉरवर्डिंग पर टूटता है। ARC (RFC 8617), एक प्रायोगिक मानक, फ़ॉरवर्डर को मूल परिणाम दर्ज करने देता है, हालाँकि वह आपके अपने सेटअप का हिस्सा नहीं है। रिकॉर्ड प्रकाशित करने के बाद, किसी भी नीति को कठोर करने से पहले dig से उन्हें जाँचें।
एक उद्धरण-योग्य परिभाषा: SPF सर्वरों को अधिकृत करता है, DKIM संदेशों को प्रमाणित करता है, और DMARC From डोमेन से मिलान लागू करता है और परिणाम की रिपोर्ट करता है।
SPF, DKIM और DMARC के प्रश्न
मुझे पहले कौन सा रिकॉर्ड सेट करना चाहिए?
पहले SPF और DKIM सेट करें, क्योंकि वे आपके ईमेल प्रदाता से आते हैं, फिर DMARC को rua पते के साथ p=none पर प्रकाशित करें। DMARC तब तक पास नहीं हो सकता जब तक दूसरे दो में से कम से कम एक पास न हो।
क्या DMARC केवल SPF या केवल DKIM से पास हो सकता है?
हाँ। एक मिलान वाला पास पर्याप्त है। p=reject नीति के लिए RFC 9989 कहता है कि केवल SPF पर निर्भर न रहें और DKIM हस्ताक्षर जोड़ें।
क्या निजी डोमेन को DMARC चाहिए?
Google और Microsoft के भेजने वाले नियम 5,000 संदेश प्रतिदिन से ऊपर लागू होते हैं। p=none पर एक DMARC रिकॉर्ड अब भी एक TXT रिकॉर्ड लगाता है और दिखाता है कि आपके नाम पर कौन मेल भेजता है।
मैं मेल फ़ॉरवर्ड करता हूँ तो SPF क्यों विफल होता है?
फ़ॉरवर्डर अपने IP पते से भेजता है, जो आपकी SPF सूची में नहीं होता। यदि फ़ॉरवर्डर संदेश को बिना बदले छोड़ता है, तो DKIM फिर भी सत्यापित होता है।
क्या SPF, DKIM और DMARC मेरे ईमेल को एन्क्रिप्ट करते हैं?
नहीं। वे भेजने वाले को प्रमाणित करते हैं और सामग्री नहीं छिपाते। सर्वरों के बीच ट्रांसपोर्ट एन्क्रिप्शन एक अलग परत है, जिसे MTA-STS कवर करता है।
सार
- SPF उन सर्वरों की सूची देता है जिन्हें आपके डोमेन की ओर से भेजने की अनुमति है: एक TXT रिकॉर्ड, अधिकतम 10 लुकअप।
- DKIM हर संदेश पर हस्ताक्षर करता है; सार्वजनिक कुंजी selector._domainkey पर रहती है।
- DMARC के लिए मिलान वाला SPF या DKIM पास चाहिए, और वह p=none, quarantine या reject सेट करता है।
- DMARC को RFC 9989 (मई 2026) परिभाषित करता है, जो RFC 7489 को अप्रचलित करता है।
- Google, Yahoo और Microsoft प्रतिदिन 5,000 संदेशों से ऊपर थोक भेजने वालों से तीनों माँगते हैं।
- पूरे Proton Mail सेटअप में 8 DNS रिकॉर्ड, Mailbox.org सेटअप में 11।
- Postelva मुफ़्त DNS में रिकॉर्ड रखता है; एक .com की कीमत हर साल $12.49/साल है।
स्रोत (8)
- RFC 7208, Sender Policy Framework — RFC Editor (पढ़ा गया 2026-11-12)
- RFC 6376, DomainKeys Identified Mail Signatures — RFC Editor (पढ़ा गया 2026-11-12)
- RFC 9989, DMARC — RFC Editor (पढ़ा गया 2026-11-12)
- RFC 8617, Authenticated Received Chain — RFC Editor (पढ़ा गया 2026-11-12)
- ईमेल भेजने वालों के दिशानिर्देश — Google Workspace Admin Help (पढ़ा गया 2026-11-12)
- ईमेल सुरक्षा मज़बूत करना: उच्च-मात्रा भेजने वालों के नए नियम — Microsoft Tech Community (पढ़ा गया 2026-11-12)
- भेजने वालों के लिए सर्वोत्तम अभ्यास — Yahoo Sender Hub (पढ़ा गया 2026-11-12)
- कस्टम डोमेन के लिए SPF, DKIM और DMARC — Mailbox.org (पढ़ा गया 2026-11-12)