Hvad DMARC afgør
SPF og DKIM bekræfter hver især noget om et domæne, men ingen af dem ser på adressen i From-linjen, som er den, folk læser. DMARC knytter dem til den. En meddelelse består DMARC, når SPF eller DKIM består for et domæne, der matcher From-domænet, og posten fortæller modtagerne, hvad de skal gøre med en meddelelse, der ikke består.
Posten ligger i DNS som en TXT-post ved _dmarc efterfulgt af dit domæne. Når der ikke findes en post for dette navn, slår modtagerne i stedet organisationsdomænet op, det registrerede domæne, eksempelvis example.com for news.example.com. Derfor kan et underdomæne være dækket uden sin egen post.
Sådan læser du DMARC-politikken
p=none beder modtagerne om ikke at gøre noget og kun sende rapporter. Det er her, alle bør starte, og hvor alt for mange domæner bliver i årevis. Mens denne politik er aktiv, kan alle sende mail med dit domæne i From-linjen, og modtageren har fået besked på at lade den gå igennem.
p=quarantine sender mail, der ikke består, til spam, mens p=reject afviser den ved modtagelsen. Gmail og Yahoo har siden februar 2024 krævet, at masseafsendere offentliggør en DMARC-post. En post med p=none opfylder formelt dette krav, men kontrollen markerer den stadig med en advarsel.
Rapporter, der aldrig kommer frem
Adresserne i rua modtager som standard én gang om dagen en samlet rapport fra hver modtager, der ser din mail. Hvis en adresse ligger på et andet domæne end det, posten gælder for, kræver RFC 7489, at det andet domæne offentliggør en godkendelsespost, som angiver, at det accepterer rapporter for dit domæne. Kontrollen slår denne post op for hver ekstern adresse. Uden den kasserer modtagerne rapporterne.
Spørgsmål
Hvordan tilføjer jeg en DMARC-post?
Offentliggør en TXT-post ved _dmarc efterfulgt af dit domæne med v=DMARC1 og en politik, eksempelvis v=DMARC1; p=none; rua=mailto:dmarc@example.com. Start med p=none, læs rapporterne i et par uger, skift derefter til quarantine og senere til reject. Kontrollér posten her, når den er blevet registreret i DNS.
Er p=none dårligt?
Som første skridt gør det, hvad det skal: Det indsamler rapporter uden at påvirke leveringen, og sådan finder du de tjenester, der sender på dine vegne, men endnu ikke er godkendt. Det bliver et problem, hvis det forbliver sådan, da formålet med rapporterne er at hjælpe dig videre til karantæne og derefter afvisning.
Skal jeg have en separat record for hvert subdomæne?
Et subdomæne uden sin egen record bruger recorden for det organisatoriske domæne, og sp-tagget i denne record angiver politikken for subdomæner. Derfor dækker én record normalt dem alle.
Lempelig eller streng justering?
Lempelig, medmindre du har en grund til andet. Med lempelig justering tæller en DKIM-signatur fra mail.example.com for afsenderadresser på example.com. Streng justering bryder dette og dermed mange opsætninger, hvor en udbyder signerer med et subdomæne.
Hvad betyder "DMARC policy not enabled"?
Det betyder, at domænets DMARC-record angiver p=none, eller at domænet slet ikke har nogen DMARC-record. Med p=none leverer modtagere mails, der ikke består kontrollen, som normalt og sender kun rapporter til rua-adressen. Derfor bliver ingen endnu forhindret i at sende som dit domæne.
Komplet guide: DMARC policy not enabled
Kan et domæne have mere end én DMARC-record?
Nej. Når _dmarc indeholder to TXT-records, der starter med v=DMARC1, ser modtagerne bort fra begge og behandler domænet, som om det ikke har nogen. Behold den ene, og flyt de tags, du skal bruge, fra den anden over i den.
Quarantine eller reject?
Start med quarantine. Modtagere behandler mails, der fejler, som mistænkelige og placerer dem normalt i spam, så mails fra en legitim tjeneste, du har overset, ender i spammappen i stedet for at gå tabt. Skift til reject, når rapporterne i nogle uger har vist, at ingen af dine mails fejler.