Was DMARC entscheidet
SPF und DKIM weisen jeweils etwas über eine Domain nach, aber keines von beiden prüft die Adresse in der From-Zeile, die von den Empfängern gelesen wird. DMARC verknüpft diese Prüfungen mit ihr. Eine Nachricht besteht DMARC, wenn SPF oder DKIM für eine Domain erfolgreich ist, die mit der From-Domain übereinstimmt. Der Record teilt den Empfängern mit, was sie mit einer Nachricht tun sollen, die diese Prüfung nicht besteht.
Der Record liegt in DNS als TXT-Record unter _dmarc, gefolgt von Ihrer Domain. Wenn für diesen Namen kein Record vorhanden ist, fragen Empfänger stattdessen die Organisationsdomain ab, also die registrierte Domain, zum Beispiel example.com für news.example.com. Deshalb kann eine Subdomain auch ohne eigenen Record abgedeckt sein.
DMARC-Richtlinie verstehen
p=none weist Empfänger an, nichts zu unternehmen und nur Berichte zu senden. Damit sollte jeder beginnen, aber viel zu viele Domains bleiben jahrelang bei dieser Einstellung. Solange sie aktiv ist, kann jeder E-Mails mit Ihrer Domain in der From-Zeile senden, und der Empfänger wurde angewiesen, sie durchzulassen.
p=quarantine verschiebt nicht bestandene E-Mails in den Spamordner, p=reject weist sie direkt ab. Gmail und Yahoo verlangen seit Februar 2024 von Massenversendern, einen DMARC-Record zu veröffentlichen. Ein Record mit p=none erfüllt diese Anforderung formal, wird von diesem Prüftool aber weiterhin als Warnung markiert.
Berichte, die nie ankommen
Die rua-Adressen erhalten standardmäßig einmal täglich von jedem Empfänger, der Ihre E-Mails sieht, einen aggregierten Bericht. Wenn eine Adresse zu einer anderen Domain gehört als der Domain, für die der Record gilt, verlangt RFC 7489, dass diese andere Domain einen Autorisierungs-Record veröffentlicht, der bestätigt, dass sie Berichte für Ihre Domain akzeptiert. Das Prüftool fragt diesen Record für jede externe Adresse ab. Ohne ihn verwerfen Empfänger die Berichte.
Fragen
Wie füge ich einen DMARC-Record hinzu?
Veröffentlichen Sie unter _dmarc, gefolgt von Ihrer Domain, einen TXT-Record mit v=DMARC1 und einer Richtlinie, zum Beispiel v=DMARC1; p=none; rua=mailto:dmarc@example.com. Beginnen Sie mit p=none, lesen Sie die Berichte einige Wochen lang und wechseln Sie dann zu quarantine und später zu reject. Prüfen Sie den Record hier, sobald er über DNS verfügbar ist.
Ist p=none schlecht?
Als erster Schritt erfüllt es seinen Zweck: Es sammelt Berichte, ohne die Zustellung zu beeinflussen. So finden Sie Dienste, die in Ihrem Namen senden, aber noch nicht authentifiziert sind. Problematisch wird es, wenn es dauerhaft bestehen bleibt, denn die Berichte sollen Ihnen dabei helfen, zunächst auf Quarantäne und anschließend auf Ablehnung umzustellen.
Brauche ich für jede Subdomain einen eigenen Record?
Eine Subdomain ohne eigenen Record verwendet den Record der Organisationsdomain. Das Tag sp in diesem Record legt die Richtlinie für Subdomains fest. Daher deckt ein Record normalerweise alle Subdomains ab.
Lockeres oder striktes Alignment?
Lockeres Alignment, sofern es keinen Grund für striktes Alignment gibt. Bei lockerem Alignment gilt eine DKIM-Signatur von mail.example.com für From-Adressen unter example.com als ausgerichtet. Striktes Alignment verhindert das und beeinträchtigt damit viele Konfigurationen, bei denen ein Anbieter mit einer Subdomain signiert.
Was bedeutet „DMARC policy not enabled“?
Das bedeutet, dass im DMARC-Record der Domain p=none steht oder dass die Domain überhaupt keinen DMARC-Record hat. Bei p=none stellen Empfänger nicht bestandene E-Mails wie üblich zu und senden nur Berichte an die rua-Adresse. Somit wird noch niemand daran gehindert, E-Mails unter Ihrer Domain zu versenden.
Vollständige Anleitung: DMARC-Richtlinie nicht aktiviert
Kann eine Domain mehrere DMARC-Records haben?
Nein. Wenn unter _dmarc zwei TXT-Records liegen, die mit v=DMARC1 beginnen, verwerfen Empfänger beide und behandeln die Domain so, als hätte sie keinen DMARC-Record. Behalten Sie einen Record und übernehmen Sie die benötigten Tags aus dem anderen.
Quarantäne oder ablehnen?
Beginnen Sie mit Quarantäne. Empfänger behandeln E-Mails, die die Prüfung nicht bestehen, als verdächtig und verschieben sie normalerweise in den Spamordner. So landet die E-Mail eines legitimen Dienstes, den Sie übersehen haben, in einem Ordner, statt verloren zu gehen. Wechseln Sie zu reject, wenn die Berichte einige Wochen lang keine fehlgeschlagenen E-Mails von Ihnen gezeigt haben.