Vad DMARC avgör
SPF och DKIM bevisar var för sig något om en domän, men ingen av dem kontrollerar adressen på From-raden, alltså den som människor läser. DMARC kopplar dem till den. Ett meddelande klarar DMARC när SPF eller DKIM godkänns för en domän som matchar From-domänen, och posten anger vad mottagare ska göra med ett meddelande som inte gör det.
Posten finns i DNS som en TXT-post på _dmarc följt av din domän. När det namnet saknar en post slår mottagare i stället upp organisationsdomänen, alltså den registrerade domänen, example.com för news.example.com. Därför kan en underdomän omfattas utan en egen post.
Så läser du policyn
p=none ber mottagare att inte göra något och bara skicka rapporter. Det är där alla bör börja, och där alldeles för många domäner blir kvar i flera år. Så länge den policyn gäller kan vem som helst skicka e-post med din domän på From-raden, och mottagaren har instruerats att släppa igenom meddelandet.
p=quarantine skickar underkänd e-post till skräppost, medan p=reject avvisar den direkt. Gmail och Yahoo har sedan februari 2024 krävt att massutskickare publicerar en DMARC-post. En post med p=none uppfyller formellt det kravet, men kontrollen markerar den ändå med en varning.
Rapporter som aldrig kommer fram
Adresserna i rua får som standard en aggregerad rapport en gång om dagen från varje mottagare som ser din e-post. Om en adress finns på en annan domän än den som posten gäller kräver RFC 7489 att den andra domänen publicerar en auktoriseringspost som anger att den tar emot rapporter för din domän. Kontrollen slår upp den posten för varje extern adress. Utan den slänger mottagarna rapporterna.
Frågor
Hur lägger jag till en DMARC-post?
Publicera en TXT-post på _dmarc följt av din domän, med v=DMARC1 och en policy, till exempel v=DMARC1; p=none; rua=mailto:dmarc@example.com. Börja med p=none, läs rapporterna i några veckor och gå sedan vidare till quarantine och senare reject. Kontrollera posten här när den har slagit igenom i DNS.
Är p=none dåligt?
Som ett första steg gör det sitt jobb: det samlar in rapporter utan att påverka leveransen. På så sätt hittar du tjänster som skickar åt dig men ännu inte är autentiserade. Det blir ett problem om policyn ligger kvar, eftersom syftet med rapporterna är att du ska kunna gå vidare till karantän och därefter avvisning.
Behöver jag en separat post för varje underdomän?
En underdomän utan en egen post använder posten för organisationsdomänen, och sp-taggen i den posten anger policyn för underdomäner. Därför räcker vanligtvis en post för alla.
Flexibel eller strikt alignment?
Flexibel, om du inte har ett särskilt skäl. Med flexibel alignment räknas en DKIM-signatur från mail.example.com för From-adresser på example.com. Strikt alignment gör att detta inte fungerar, vilket även påverkar många konfigurationer där en leverantör signerar med en underdomän.
Vad betyder "DMARC policy not enabled"?
Det betyder att domänens DMARC-post anger p=none eller att domänen helt saknar en DMARC-post. Med p=none levererar mottagarna meddelanden som inte klarar kontrollen som vanligt och skickar bara rapporter till rua-adressen. Ingen hindras därför ännu från att skicka i din domäns namn.
Fullständig guide: DMARC policy not enabled
Kan en domän ha fler än en DMARC-post?
Nej. När _dmarc innehåller två TXT-poster som börjar med v=DMARC1 ignorerar mottagarna båda och behandlar domänen som om den saknade en DMARC-post. Behåll en och flytta de taggar du behöver från den andra till den.
quarantine eller reject?
Börja med quarantine. Mottagare behandlar meddelanden som inte klarar kontrollen som misstänkta, vanligtvis genom att lägga dem i skräppost. Om du har missat en legitim tjänst hamnar meddelandet då i en mapp i stället för att gå förlorat. Byt till reject när rapporterna under några veckor har visat att inga av dina meddelanden misslyckas.