Mit dönt el a DMARC?
Az SPF és a DKIM egyaránt igazol valamit egy domainről, de egyik sem vizsgálja a From sorban szereplő címet, pedig ezt látják az emberek. A DMARC ezekhez kapcsolja. Egy üzenet akkor felel meg a DMARC-ellenőrzésen, ha az SPF vagy a DKIM megfelel egy olyan domainhez, amely egyezik a From domainnel, a rekord pedig megadja a fogadóknak, hogy mit tegyenek a nem megfelelő üzenetekkel.
A rekord a DNS-ben található TXT rekordként, a domainhez tartozó _dmarc néven. Ha ezen a néven nincs rekord, a fogadók helyette a szervezeti domaint keresik meg, vagyis a regisztrált domaint, például a news.example.com esetén az example.com domaint. Ezért egy aldomain saját rekord nélkül is lefedhető.
A házirend értelmezése
A p=none arra kéri a fogadókat, hogy ne tegyenek semmit, csak küldjenek jelentéseket. Mindenkinek ezzel kell kezdenie, mégis túl sok domain marad ebben az állapotban évekig. Amíg ez van érvényben, bárki küldhet levelet az Ön domainjével a From sorban, a fogadó pedig azt az utasítást kapta, hogy engedje át.
A p=quarantine a spam mappába küldi a sikertelen leveleket, a p=reject pedig már érkezéskor elutasítja őket. A Gmail és a Yahoo 2024 februárja óta megköveteli a tömeges levélküldőktől a DMARC-rekord közzétételét. A p=none értékű rekord papíron teljesíti ezt a követelményt, de az ellenőrző továbbra is figyelmeztetésként jelöli.
A jelentések, amelyek soha nem érkeznek meg
A rua címek alapértelmezés szerint naponta egyszer kapnak összesített jelentést minden olyan fogadótól, amely az Ön leveleit látja. Ha egy cím másik domainhez tartozik, mint amelyhez a rekord készült, az RFC 7489 előírja, hogy ennek a másik domainnek közzé kell tennie egy engedélyezési rekordot, amely jelzi, hogy elfogadja az Ön domainjéről szóló jelentéseket. Az ellenőrző minden külső címnél megkeresi ezt a rekordot. Enélkül a fogadók eldobják a jelentéseket.
Kérdések
Hogyan adhat hozzá DMARC-rekordot?
Tegyen közzé egy TXT rekordot a domainhez tartozó _dmarc néven, v=DMARC1 értékkel és egy házirenddel, például: v=DMARC1; p=none; rua=mailto:dmarc@example.com. Kezdje a p=none értékkel, néhány hétig olvassa a jelentéseket, majd váltson quarantine, később pedig reject házirendre. Ellenőrizze itt a rekordot, miután megjelent a DNS-ben.
Rossz a p=none?
Első lépésként ellátja a feladatát: jelentéseket gyűjt anélkül, hogy befolyásolná a kézbesítést. Így találhatja meg azokat a szolgáltatásokat, amelyek az Ön nevében küldenek, de még nincsenek hitelesítve. Akkor válik problémává, ha így marad, mivel a jelentések célja, hogy először karanténra, majd elutasításra váltson.
Minden aldomainhez külön rekord kell?
A saját rekorddal nem rendelkező aldomain a szervezeti domain rekordját használja, az abban lévő sp tag pedig meghatározza az aldomainek házirendjét. Ezért általában egyetlen rekord mindegyikre érvényes.
Laza vagy szigorú illeszkedés?
Laza, hacsak nincs oka a szigorú illeszkedésre. Laza illeszkedésnél a mail.example.com DKIM-aláírása érvényesnek számít az example.com From-címeinél. A szigorú illeszkedés ezt megakadályozza, és ezzel sok olyan beállítást is működésképtelenné tesz, amelyben a szolgáltató aldomainnel ír alá.
Mit jelent a „DMARC policy not enabled” üzenet?
Ez azt jelenti, hogy a domain DMARC-rekordjában p=none szerepel, vagy a domainnek egyáltalán nincs DMARC-rekordja. A p=none esetén a fogadó rendszerek a sikertelen ellenőrzésű leveleket a szokásos módon kézbesítik, és csak jelentéseket küldenek a rua címre, így egyelőre senkit sem akadályoznak meg abban, hogy az Ön domainje nevében küldjön.
Teljes útmutató: DMARC policy not enabled
Lehet egy domainnek egynél több DMARC-rekordja?
Nem. Ha az _dmarc alatt két, v=DMARC1 kezdetű TXT-rekord található, a fogadó rendszerek mindkettőt figyelmen kívül hagyják, és úgy kezelik a domaint, mintha nem lenne DMARC-rekordja. Tartsa meg az egyiket, és helyezze át bele a másikból a szükséges címkéket.
Karantén vagy elutasítás?
Először használjon karantént. A fogadó szerverek gyanúsként kezelik az ellenőrzésen megbukó leveleket, és általában a spam mappába helyezik őket. Így egy kihagyott legitim szolgáltatás miatt az üzenet csak másik mappába kerül, nem vész el. Akkor váltson elutasításra, ha a jelentések néhány héten keresztül azt mutatják, hogy egyetlen saját levele sem bukik meg az ellenőrzésen.