Hva DMARC avgjør
SPF og DKIM bekrefter hver for seg noe om et domene, men ingen av dem ser på adressen i From-linjen, som er den folk leser. DMARC knytter dem til denne adressen. En melding består DMARC når SPF eller DKIM består for et domene som samsvarer med From-domenet, og oppføringen forteller mottakerne hva de skal gjøre med en melding som ikke består.
Oppføringen ligger i DNS som en TXT-oppføring på _dmarc etterfulgt av domenet ditt. Når dette navnet ikke har noen oppføring, slår mottakerne opp organisasjonsdomenet i stedet, altså det registrerte domenet, example.com for news.example.com. Derfor kan et underdomene være dekket uten en egen oppføring.
Slik tolker du policyen
p=none ber mottakerne om ikke å gjøre noe, bare sende rapporter. Det er der alle bør starte, og der altfor mange domener blir værende i årevis. Så lenge denne policyen brukes, kan hvem som helst sende e-post med domenet ditt i From-linjen, og mottakeren har fått beskjed om å slippe den gjennom.
p=quarantine sender e-post som ikke består, til spam, mens p=reject avviser den ved mottak. Gmail og Yahoo har siden februar 2024 krevd at masseutsendere publiserer en DMARC-oppføring. En oppføring med p=none oppfyller formelt dette kravet, men kontrollen markerer den fortsatt med en advarsel.
Rapporter som aldri kommer frem
rua-adressene mottar som standard én aggregert rapport per dag fra hver mottaker som ser e-posten din. Hvis en adresse ligger på et annet domene enn domenet oppføringen gjelder for, krever RFC 7489 at det andre domenet publiserer en autorisasjonsoppføring som sier at det godtar rapporter for ditt domene. Kontrollen slår opp denne oppføringen for hver eksterne adresse. Uten den forkaster mottakerne rapportene.
Spørsmål
Hvordan legger jeg til en DMARC-oppføring?
Publiser en TXT-oppføring på _dmarc etterfulgt av domenet ditt, med v=DMARC1 og en policy, for eksempel v=DMARC1; p=none; rua=mailto:dmarc@example.com. Start med p=none, les rapportene i noen uker, gå deretter over til quarantine og senere til reject. Kontroller oppføringen her når den er tilgjengelig i DNS.
Er p=none dårlig?
Som et første trinn gjør den jobben sin: Den samler inn rapporter uten å påvirke leveringen. Slik finner du tjenestene som sender for deg, men som ennå ikke er autentisert. Det blir et problem når den blir stående, siden poenget med rapportene er å hjelpe deg videre til karantene og deretter avvisning.
Trenger jeg en egen oppføring for hvert subdomene?
Et subdomene uten en egen oppføring bruker oppføringen for organisasjonsdomenet, og sp-taggen i denne oppføringen angir policyen for subdomener. Derfor dekker én oppføring vanligvis alle.
Avslappet eller strengt samsvar?
Avslappet, med mindre du har en grunn til noe annet. Med avslappet samsvar teller en DKIM-signatur fra mail.example.com for adresser i From-feltet på example.com. Strengt samsvar bryter dette, og dermed også mange oppsett der en leverandør signerer med et subdomene.
Hva betyr «DMARC policy not enabled»?
Det betyr at domenets DMARC-oppføring angir p=none, eller at domenet ikke har noen DMARC-oppføring. Med p=none leverer mottakere e-post som ikke består kontrollen, som vanlig, og sender bare rapporter til rua-adressen. Ingen hindres derfor ennå i å sende som domenet ditt.
Full veiledning: DMARC policy not enabled
Kan et domene ha mer enn én DMARC-oppføring?
Nei. Når _dmarc inneholder to TXT-oppføringer som begynner med v=DMARC1, forkaster mottakerne begge og behandler domenet som om det ikke har noen. Behold én, og flytt taggene du trenger fra den andre til denne.
Quarantine eller reject?
Bruk karantene først. Mottakere behandler e-post som ikke består kontrollen, som mistenkelig, vanligvis ved å legge den i spam. Dermed havner e-post fra en legitim tjeneste du har oversett, i en mappe i stedet for å gå tapt. Gå over til avvisning når rapportene i noen uker har vist at ingen av dine e-poster feiler.