Mitä DMARC tarkistaa
SPF ja DKIM todistavat kumpikin jotakin verkkotunnuksesta, mutta kumpikaan ei tarkista From-rivin osoitetta, jonka ihmiset näkevät. DMARC yhdistää ne siihen. Viesti läpäisee DMARC-tarkistuksen, kun SPF tai DKIM läpäisee tarkistuksen verkkotunnukselle, joka vastaa From-verkkotunnusta. Tietue kertoo vastaanottajille, mitä viestille tehdään, jos se ei läpäise tarkistusta.
Tietue sijaitsee DNS:ssä TXT-tietueena nimessä, joka muodostuu osasta _dmarc ja verkkotunnuksestasi. Jos tällä nimellä ei ole tietuetta, vastaanottajat tarkistavat sen sijaan organisaation verkkotunnuksen eli rekisteröidyn verkkotunnuksen, esimerkiksi example.com verkkotunnukselle news.example.com. Siksi aliverkkotunnus voidaan suojata ilman omaa tietuetta.
DMARC-käytännön tulkinta
p=none pyytää vastaanottajia olemaan tekemättä viestille mitään ja lähettämään vain raportteja. Kaikkien kannattaa aloittaa siitä, mutta aivan liian monet verkkotunnukset jäävät siihen vuosiksi. Kun p=none on käytössä, kuka tahansa voi lähettää sähköpostia verkkotunnuksellasi From-rivillä, ja vastaanottajaa on ohjeistettu päästämään viesti läpi.
p=quarantine siirtää tarkistuksen epäonnistuvat viestit roskapostiin, ja p=reject hylkää ne heti. Gmail ja Yahoo ovat vaatineet suurten lähetysmäärien lähettäjiltä DMARC-tietueen julkaisemista helmikuusta 2024 lähtien. p=none-tietue täyttää vaatimuksen muodollisesti, mutta tarkistustyökalu merkitsee sen silti varoitukseksi.
Miksi DMARC-raportit eivät saavu
Jokainen sähköpostisi näkevä vastaanottaja lähettää oletusarvoisesti kerran päivässä koontiraportin rua-osoitteisiin. Jos osoite on eri verkkotunnuksessa kuin tietue, RFC 7489 vaatii, että toinen verkkotunnus julkaisee valtuutustietueen, joka ilmoittaa sen hyväksyvän verkkotunnuksesi raportit. Tarkistustyökalu hakee tämän tietueen jokaiselle ulkoiselle osoitteelle. Ilman sitä vastaanottajat jättävät raportit lähettämättä.
Kysymyksiä
Miten lisään DMARC-tietueen?
Julkaise TXT-tietue nimessä, joka muodostuu osasta _dmarc ja verkkotunnuksestasi. Lisää siihen v=DMARC1 ja käytäntö, esimerkiksi v=DMARC1; p=none; rua=mailto:dmarc@example.com. Aloita käytännöstä p=none, lue raportteja muutaman viikon ajan ja siirry sitten käytäntöön quarantine ja myöhemmin käytäntöön reject. Tarkista tietue täällä, kun se on päivittynyt DNS:ään.
Onko p=none huono?
Ensimmäisenä vaiheena se tekee tehtävänsä: se kerää raportteja vaikuttamatta viestien toimitukseen. Näin löydät puolestasi lähettävät palvelut, joita ei ole vielä todennettu. Siitä tulee ongelma, jos se jää käyttöön, sillä raporttien tarkoitus on auttaa siirtymään ensin karanteeniin ja sitten hylkäykseen.
Tarvitsenko erillisen tietueen jokaiselle aliverkkotunnukselle?
Aliverkkotunnus, jolla ei ole omaa tietuetta, käyttää organisaation verkkotunnuksen tietuetta. Tämän tietueen sp-tunniste määrittää aliverkkotunnusten käytännön. Yksi tietue siis yleensä kattaa ne kaikki.
Väljä vai tiukka kohdistus?
Väljä, ellei tiukalle kohdistukselle ole erityistä syytä. Väljässä kohdistuksessa DKIM-allekirjoitus verkkotunnuksesta mail.example.com hyväksytään example.com-verkkotunnuksen From-osoitteille. Tiukka kohdistus estää tämän ja rikkoo samalla monia määrityksiä, joissa palveluntarjoaja allekirjoittaa aliverkkotunnuksella.
Mitä "DMARC policy not enabled" tarkoittaa?
Se tarkoittaa, että verkkotunnuksen DMARC-tietueessa on p=none tai ettei verkkotunnuksella ole lainkaan DMARC-tietuetta. Kun käytössä on p=none, vastaanottajat toimittavat tarkistuksen läpäisemättömät viestit normaalisti ja lähettävät vain raportteja rua-osoitteeseen. Lähettämistä verkkotunnuksesi nimissä ei siis vielä estetä.
Koko opas: DMARC policy not enabled
Voiko verkkotunnuksella olla useampi kuin yksi DMARC-tietue?
Ei. Jos _dmarc sisältää kaksi v=DMARC1-alkuista TXT-tietuetta, vastaanottajat hylkäävät molemmat ja käsittelevät verkkotunnusta kuin sillä ei olisi DMARC-tietuetta. Säilytä toinen tietue ja siirrä siihen toisesta tarvitsemasi tunnisteet.
Quarantine vai reject?
Aloita quarantine-käytännöllä. Vastaanottajat käsittelevät tarkistuksen läpäisemättömiä viestejä epäilyttävinä ja siirtävät ne yleensä spam-kansioon. Jos jokin käyttämäsi palvelu jäi huomaamatta, viesti päätyy kansioon eikä katoa kokonaan. Siirry reject-käytäntöön, kun raportit ovat muutaman viikon ajan osoittaneet, ettei mikään oma palvelusi epäonnistu tarkistuksissa.