Co sprawdza DMARC
SPF i DKIM potwierdzają określone informacje o domenie, ale żaden z nich nie sprawdza adresu w polu From, który widzą użytkownicy. DMARC łączy z nim te mechanizmy. Wiadomość przechodzi DMARC, gdy SPF lub DKIM przechodzi dla domeny zgodnej z domeną w polu From, a rekord określa, co odbiorcy mają zrobić z wiadomością, która nie przejdzie tej kontroli.
Rekord znajduje się w DNS jako rekord TXT pod nazwą _dmarc, po której następuje Twoja domena. Gdy pod tą nazwą nie ma rekordu, odbiorcy sprawdzają domenę organizacyjną, czyli domenę zarejestrowaną, na przykład example.com dla news.example.com. Dlatego subdomena może być objęta ochroną bez własnego rekordu.
Jak odczytać politykę DMARC
p=none prosi odbiorców, aby nie podejmowali żadnych działań i tylko wysyłali raporty. Od tego powinien zacząć każdy, ale zbyt wiele domen pozostaje przy tej polityce przez lata. Dopóki obowiązuje, każdy może wysyłać pocztę z Twoją domeną w polu From, a odbiorca otrzymuje polecenie, aby ją przepuścić.
p=quarantine kieruje wiadomości, które nie przeszły kontroli, do spamu, a p=reject odrzuca je przy próbie dostarczenia. Od lutego 2024 roku Gmail i Yahoo wymagają od nadawców masowych publikowania rekordu DMARC. Rekord z p=none formalnie spełnia ten wymóg, ale narzędzie nadal oznacza go ostrzeżeniem.
Raporty DMARC, które nie docierają
Na adresy rua domyślnie raz dziennie trafia raport zbiorczy od każdego odbiorcy, który widzi Twoją pocztę. Jeśli adres znajduje się w innej domenie niż domena, której dotyczy rekord, RFC 7489 wymaga, aby ta druga domena opublikowała rekord autoryzacyjny potwierdzający, że przyjmuje raporty dotyczące Twojej domeny. Narzędzie sprawdza ten rekord dla każdego adresu zewnętrznego. Bez niego odbiorcy odrzucają raporty.
Pytania
Jak dodać rekord DMARC?
Opublikuj rekord TXT pod nazwą _dmarc, po której następuje Twoja domena, z v=DMARC1 i polityką, na przykład v=DMARC1; p=none; rua=mailto:dmarc@example.com. Zacznij od p=none, analizuj raporty przez kilka tygodni, następnie przejdź na quarantine, a później na reject. Gdy rekord będzie już widoczny w DNS, sprawdź go tutaj.
Czy p=none jest złe?
Na początku spełnia swoje zadanie: zbiera raporty bez wpływu na dostarczanie. Pozwala to znaleźć usługi, które wysyłają wiadomości w Twoim imieniu, ale nie są jeszcze uwierzytelnione. Problem pojawia się, gdy p=none pozostaje na stałe, ponieważ raporty mają pomóc przejść do kwarantanny, a następnie do odrzucania wiadomości.
Czy każda subdomena wymaga osobnego rekordu?
Subdomena bez własnego rekordu korzysta z rekordu domeny organizacyjnej, a tag sp w tym rekordzie określa politykę dla subdomen. Dlatego jeden rekord zwykle obejmuje je wszystkie.
Dopasowanie łagodne czy ścisłe?
Łagodne, chyba że masz powód, aby użyć ścisłego. Przy łagodnym dopasowaniu podpis DKIM z mail.example.com jest uznawany dla adresów From w example.com. Ścisłe dopasowanie to uniemożliwia, podobnie jak wiele konfiguracji, w których dostawca podpisuje wiadomości przy użyciu subdomeny.
Co oznacza „DMARC policy not enabled”?
Oznacza to, że rekord DMARC domeny zawiera p=none albo domena nie ma żadnego rekordu DMARC. Przy p=none odbiorcy dostarczają wiadomości, które nie przeszły weryfikacji, jak zwykle i wysyłają tylko raporty na adres rua. Nikt nie jest więc jeszcze powstrzymywany przed wysyłaniem wiadomości w imieniu Twojej domeny.
Pełny poradnik: DMARC policy not enabled
Czy domena może mieć więcej niż jeden rekord DMARC?
Nie. Gdy pod _dmarc znajdują się dwa rekordy TXT zaczynające się od v=DMARC1, odbiorcy odrzucają oba i traktują domenę tak, jakby nie miała żadnego rekordu DMARC. Zachowaj jeden rekord i przenieś do niego potrzebne tagi z drugiego.
Kwarantanna czy odrzucanie?
Najpierw kwarantanna. Odbiorcy traktują wiadomości, które nie przejdą weryfikacji, jako podejrzane i zwykle umieszczają je w spamie. Jeśli pominiesz używaną legalną usługę, wiadomość trafi więc do folderu zamiast przepaść. Przejdź do odrzucania, gdy raporty przez kilka tygodni nie wykażą żadnych nieudanych weryfikacji twoich wiadomości.