מה DMARC קובע
SPF ו-DKIM מוכיחים כל אחד דבר מסוים לגבי דומיין, אך אף אחד מהם אינו בודק את הכתובת בשורת From, שהיא הכתובת שאנשים קוראים. DMARC מקשר אותם אליה. הודעה עוברת DMARC כאשר SPF או DKIM עוברים עבור דומיין שתואם לדומיין שבשורת From, והרשומה מורה למקבלים מה לעשות בהודעה שאינה עוברת.
הרשומה נמצאת ב-DNS כרשומת TXT ב-_dmarc ולאחריו הדומיין שלכם. כאשר אין רשומה בשם הזה, המקבלים בודקים במקום זאת את הדומיין הארגוני, כלומר הדומיין הרשום, example.com עבור news.example.com. לכן אפשר להגן על תת-דומיין גם בלי רשומה משלו.
איך לקרוא את המדיניות
p=none מבקש מהמקבלים לא לעשות דבר ורק לשלוח דוחות. זו נקודת ההתחלה המתאימה לכולם, אך הרבה יותר מדי דומיינים נשארים בה במשך שנים. כל עוד המדיניות הזו מוגדרת, כל אחד יכול לשלוח דואר כשהדומיין שלכם מופיע בשורת From, והמקבל קיבל הוראה להעביר אותו.
p=quarantine שולח דואר שנכשל לספאם, ו-p=reject דוחה אותו כבר בכניסה. מאז פברואר 2024, Gmail ו-Yahoo דורשים משולחים בכמויות גדולות לפרסם רשומת DMARC. רשומה עם p=none עומדת בדרישה הזו על הנייר, אך הבודק עדיין מסמן אותה באזהרה.
דוחות שלעולם אינם מגיעים
הכתובות ב-rua מקבלות דוח מצטבר מכל מקבל שרואה את הדואר שלכם, פעם ביום כברירת מחדל. אם כתובת נמצאת בדומיין שונה מזה שעבורו הרשומה מוגדרת, RFC 7489 דורש שהדומיין האחר יפרסם רשומת הרשאה שמצהירה כי הוא מקבל דוחות עבור הדומיין שלכם. הבודק מחפש את הרשומה הזו עבור כל כתובת חיצונית. בלעדיה, המקבלים משליכים את הדוחות.
שאלות
איך מוסיפים רשומת DMARC?
פרסמו רשומת TXT ב-_dmarc ולאחריו הדומיין שלכם, עם v=DMARC1 ומדיניות, לדוגמה v=DMARC1; p=none; rua=mailto:dmarc@example.com. התחילו עם p=none, קראו את הדוחות במשך כמה שבועות, לאחר מכן עברו ל-quarantine ובהמשך ל-reject. בדקו כאן את הרשומה לאחר ש-DNS קלט אותה.
האם p=none הוא רע?
כצעד ראשון הוא עושה את עבודתו: אוסף דוחות בלי להשפיע על מסירת הדוא"ל, וכך אפשר למצוא את השירותים ששולחים בשמכם ועדיין אינם מאומתים. הוא הופך לבעיה כשנשארים איתו, מפני שמטרת הדוחות היא לאפשר לעבור להסגר ולאחר מכן לדחייה.
האם צריך רשומה נפרדת לכל תת-דומיין?
תת-דומיין שאין לו רשומה משלו משתמש ברשומה של הדומיין הארגוני, והתג sp ברשומה זו מגדיר את המדיניות לתת-דומיינים. לכן רשומה אחת בדרך כלל מכסה את כולם.
יישור מקל או מחמיר?
מקל, אלא אם יש סיבה לבחור אחרת. ביישור מקל, חתימת DKIM של mail.example.com נחשבת תואמת לכתובות From בדומיין example.com. יישור מחמיר מבטל את ההתאמה הזו, ואיתה תצורות רבות שבהן ספק חותם באמצעות תת-דומיין.
מה פירוש "DMARC policy not enabled"?
פירוש הדבר שרשומת ה-DMARC של הדומיין כוללת p=none, או שאין לדומיין רשומת DMARC כלל. עם p=none, שרתים מקבלים מוסרים כרגיל הודעות שנכשלו ורק שולחים דוחות לכתובת rua, ולכן עדיין לא מונעים מאף אחד לשלוח הודעות בשם הדומיין שלכם.
המדריך המלא: DMARC policy not enabled
האם לדומיין יכולה להיות יותר מרשומת DMARC אחת?
לא. כאשר _dmarc מכיל שתי רשומות TXT שמתחילות ב-v=DMARC1, שרתים מקבלים מתעלמים משתיהן ומתייחסים לדומיין כאילו אין לו רשומה. השאירו רשומה אחת והעבירו אליה את התגים הדרושים לכם מהרשומה האחרת.
הסגר או דחייה?
התחילו בהסגר. שרתים מקבלים מתייחסים להודעות שנכשלו כחשודות, ובדרך כלל מעבירים אותן לספאם, כך ששירות לגיטימי שפספסתם יעלה לכם בתיקייה במקום בהודעה שאבדה. עברו לדחייה לאחר שהדוחות הראו במשך כמה שבועות שאף הודעה שלכם אינה נכשלת.