Masalah mailing list dan DMARC reject

Latar Belakang

Tanggal 7 April 2014, Yahoo mempublikasikan record DMARC dengan policy 'p=reject'. Dengan policy ini, Yahoo memberi tahu mail server lain untuk menolak email dengan ciri-ciri berikut ini:

• Memiliki header "From" yang berisi alamat @yahoo.com
• Tidak dikirim melalui mail server Yahoo.

Mail server lain yang mengimplementasikan standar DMARC akan melihat record DMARC yang dipublikasikan Yahoo dan menolak email dengan ciri-ciri tersebut di atas.

Jika pengguna Yahoo mengirim email ke mailing list, maka email yang didistribusikan mailing list akan memiliki ciri-ciri tersebut di atas, dan akan ditolak oleh mail server yang mengimplementasikan DMARC.

Masalah ini terjadi untuk semua mailing list, dan bukan hanya pada sistem indoglobal.com saja. Layanan mailing list dari Yahoo, Yahoogroups, juga mengalami masalah yang sama.

Sebelum Yahoo, yang mengimplementasikan policy ini hanyalah domain yang sensitif terhadap phishing, seperti Paypal, Twitter, Facebook dan domain perbankan. Dan mereka menyadari dengan mengimplementasikan policy ini, pengguna email mereka tidak akan bisa perpartisipasi dalam mailing list. Ini merupakan kasus pertama dimana provider email besar mengimplementasikan policy DMARC 'p=reject', dan ada kemungkinan akan selamanya mengubah bagaimana cara mailing list bekerja.

Saat tulisan ini dibuat, domain Yahoo yang mempublikasikan DMARC reject hanya yahoo.com. Yahoo.co.id, yahoo.com.sg dan yahoo.jp tidak mempublikasikan DMARC reject. Tanggal 22 April 2014, AOL.com juga ikut mengimplementasikan DMARC reject.

Solusi Pada Sistem indoglobal.com

Fitur mailing list di indoglobal.com mengatasi masalah ini dengan cara mengubah alamat email pada field "From" menjadi sebuah alamat email pada domain yang sama dengan alamat mailing list. Alamat email tersebut dibuat secara otomatis oleh sistem saat email masuk ke mailing list.

Contoh: Jika pengguna example@yahoo.com mengirimkan email ke mailing list list@example.com, maka email tersebut akan dimodifikasi oleh sistem kami sebelum didistribusikan ke mailing list. Sistem secara otomatis akan mengubah

From: John Doe <example@yahoo.com>

menjadi misalnya

From: John Doe <SRS0-zJsN=ZR=yahoo.com=example@example.com>

Perubahan ini hanya dilakukan jika domain pengirim mempublikasikan record DMARC dengan policy "p=reject".

Solusi ini bisa dinyalakan dan dimatikan. Setting dapat dilakukan dari Control Panel Mailing List di menu "Delivery Policy" pada "Rewrite 'From' address". Default untuk setting ini adalah dalam posisi aktif. Pengguna bisa memilih untuk melakukan 'rewrite' seluruh alamat, atau hanya yang mengimplementasikan DMARC reject saja.

Berdasarkan pengamatan kami, yang kami lakukan ini sejalan dengan yang dilakukan oleh pengelola mailing list lain. Dalam waktu dekat, kami perkirakan praktik semacam ini akan diberlakukan pada mayoritas mailing list.

Pengiriman Email Langsung ke Pengguna (Japri)

Jika ada anggota milis yang ingin mengirim email langsung ke anggota tersebut tanpa melalui mailing list (japri), hal ini bisa dilakukan dengan mengirim email ke alamat "From" yang telah diganti tersebut. Alamat email tersebut berlaku selama 3 hari, dan sistem akan secara otomatis mem-forward email yang masuk ke alamat tersebut ke alamat email aslinya.

Tautan Terkait

Situs berita:

• PCWorld: Yahoo email anti-spoofing policy breaks mailing lists
• Virus Bulletin: Yahoo's DMARC policy wreaks havoc among mailing lists
• The Hacker News: Yahoo's New DMARC Policy Destroys Every Mailing List across the World
• Slashdot: Yahoo DMARC Implementation Breaks Most Mailing Lists

Blog:

• A brief DMARC primer
• John R. Levine: Yahoo addresses a security problem by breaking every mailing list in the world
• Christine Borgia: All About Yahoo's DMARC Reject Policy

Informasi dari Yahoo:

• Email service providers can't send to / from Yahoo addresses
• Error "554 5.7.9: Message not accepted for policy reasons" when sending email to Yahoo
• Yahoo DMARC Policy Change - What Should Senders Do?
• An Update on our DMARC Policy to Protect Our Users
• Yahoo DMARC policy

Informasi dari AOL:

• AOL Mail updates DMARC policy to 'reject'

Lain-lain:

• DMARC FAQ: I operate a mailing list and I want to interoperate with DMARC, what should I do?
• Milis IETF: Yahoo breaks every mailing list in the world including the IETF's