Co kontroluje DMARC
SPF a DKIM každý ověřují určitou informaci o doméně, ale ani jeden nekontroluje adresu v řádku From, kterou lidé skutečně čtou. DMARC je s touto adresou propojuje. Zpráva projde kontrolou DMARC, když projde SPF nebo DKIM pro doménu, která odpovídá doméně v poli From. Záznam zároveň příjemcům říká, co mají udělat se zprávou, která kontrolou neprojde.
Záznam je uložený v DNS jako TXT záznam na adrese tvořené _dmarc a vaší doménou. Pokud pro tento název žádný záznam neexistuje, příjemci místo něj vyhledají doménu organizace, tedy registrovanou doménu, například example.com pro news.example.com. Proto může být subdoména chráněná i bez vlastního záznamu.
Jak číst zásady DMARC
p=none žádá příjemce, aby nic nedělali a pouze posílali reporty. Tím by měl začít každý, ale příliš mnoho domén u tohoto nastavení zůstává celé roky. Dokud je nastavené, může kdokoli odesílat poštu s vaší doménou v řádku From a příjemce dostal pokyn, aby ji propustil.
p=quarantine přesune nevyhovující poštu do spamu, p=reject ji odmítne při přijetí. Gmail a Yahoo od února 2024 vyžadují, aby hromadní odesílatelé zveřejnili záznam DMARC. Záznam s p=none tento požadavek formálně splňuje, ale kontrola ho stále označí jako varování.
Proč reporty DMARC nedorazí
Na adresy rua chodí od každého příjemce, který zaznamená vaši poštu, ve výchozím nastavení jeden souhrnný report denně. Pokud je adresa na jiné doméně než doména, pro kterou záznam platí, RFC 7489 vyžaduje, aby tato jiná doména zveřejnila autorizační záznam potvrzující, že přijímá reporty pro vaši doménu. Kontrola tento záznam vyhledá pro každou externí adresu. Bez něj příjemci reporty zahodí.
Otázky
Jak přidat záznam DMARC?
Zveřejněte TXT záznam na adrese tvořené _dmarc a vaší doménou, s v=DMARC1 a zásadou, například v=DMARC1; p=none; rua=mailto:dmarc@example.com. Začněte s p=none, několik týdnů sledujte reporty, potom přejděte na quarantine a později na reject. Jakmile se záznam projeví v DNS, zkontrolujte ho zde.
Je p=none špatně?
Jako první krok plní svůj účel: shromažďuje hlášení bez ovlivnění doručování, takže zjistíte, které služby odesílající vaším jménem ještě nejsou ověřené. Problém nastane, pokud u něj zůstanete, protože smyslem hlášení je přejít ke karanténě a následně k odmítání.
Potřebuji samostatný záznam pro každou subdoménu?
Subdoména bez vlastního záznamu používá záznam organizační domény a tag sp v tomto záznamu nastavuje zásady pro subdomény. Jeden záznam tedy obvykle pokryje všechny subdomény.
Volné, nebo striktní zarovnání?
Volné, pokud nemáte důvod zvolit jiné. Při volném zarovnání se DKIM podpis z mail.example.com započítá pro adresy From na example.com. Striktní zarovnání to znemožní a naruší tak mnoho konfigurací, ve kterých poskytovatel podepisuje pomocí subdomény.
Co znamená „DMARC policy not enabled“?
Znamená to, že DMARC záznam domény obsahuje p=none nebo že doména nemá žádný DMARC záznam. Při p=none příjemci doručují nevyhovující poštu jako obvykle a pouze odesílají reporty na adresu rua, takže zatím nikomu nebrání odesílat poštu jménem vaší domény.
Podrobný návod: DMARC policy not enabled
Může mít doména více než jeden DMARC záznam?
Ne. Pokud _dmarc obsahuje dva TXT záznamy začínající na v=DMARC1, příjemci oba zahodí a považují doménu za doménu bez DMARC záznamu. Ponechte jeden záznam a přesuňte do něj potřebné tagy z druhého.
quarantine, nebo reject?
Nejprve použijte karanténu. Příjemci považují nevyhovující e-maily za podezřelé a obvykle je přesunou do spamu, takže přehlédnutá legitimní služba vás bude stát umístění do jiné složky, nikoli ztracenou zprávu. Na reject přejděte, až reporty několik týdnů neukážou žádné selhání vašich e-mailů.