Kontrola DMARC záznamu

Co DMARC dělá

DMARC je krátký TXT záznam na _dmarc.vasedomena, který propojuje SPF a DKIM s adresou v řádku From. Zpráva projde DMARC, když projde SPF nebo DKIM a zároveň se doména, která prošla, shoduje s doménou v From. Záznam pak příjemcům říká, co dělat s poštou, která neprojde, a kam o ní posílat reporty.

Typický záznam vypadá takto:

v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com

Tagy, na kterých záleží

• p: politika. none jen reportuje, quarantine posílá neprošlou poštu do spamu, reject ji odmítne.
• rua: kam chodí denní souhrnné reporty. Bez něj nevidíte, kdo za vaši doménu posílá poštu.
• sp: politika pro subdomény, pokud se má lišit od p.
• pct: podíl neprošlé pošty, na který se politika vztahuje, pro postupné zavádění. Až si budete jistí, nechte ho na 100.
• adkim a aspf: volné zarovnání (r, výchozí) uzná i subdoménu, striktní (s) vyžaduje přesně stejnou doménu.

Jak bezpečně přejít na vynucování

1. Zveřejněte p=none s adresou rua.
2. Dva až čtyři týdny čtěte reporty a sepište všechny služby, které za vás posílají poštu: poskytovatele pošty, newsletterový nástroj, fakturaci, helpdesk.
3. U každé zajistěte, aby procházela se zarovnaným DKIM podpisem (nejlépe) nebo přes SPF. SPF ověříte kontrolou SPF záznamu a klíče vyhledáním DKIM záznamu.
4. Přejděte na p=quarantine, sledujte reporty a pak přejděte na p=reject.

Jestli konkrétní zpráva DMARC prošla, zjistíte v analýze hlaviček e-mailu.

Časté otázky

Jakou politiku DMARC zvolit?

Začněte s p=none a adresou rua. Budete dostávat reporty a doručování se nijak nezmění. Až reporty ukážou, že každá služba, která za vás posílá poštu, prochází SPF nebo DKIM se zarovnáním, přejděte na p=quarantine a později na p=reject. Většina domén to zvládne za pár týdnů.

Potřebuji DMARC, když už mám SPF a DKIM?

Ano. SPF a DKIM samy o sobě nekontrolují adresu From, kterou lidé vidí, a neříkají příjemcům, co dělat, když kontrola selže. DMARC dělá obojí. Gmail a Yahoo navíc DMARC záznam vyžadují od každého, kdo posílá hromadně.

Moje subdoména nemá DMARC záznam. Je nechráněná?

Ne nutně. Příjemci použijí záznam organizační domény a pro subdomény platí jeho tag sp= (nebo p=, když sp chybí). Kontrola postupuje stejně a řekne vám, odkud politika pochází.

Kam chodí reporty?

Na adresy mailto: v tagu rua. Jsou to soubory XML, od každého příjemce jeden za den, se seznamem všech serverů, které posílaly poštu za vaši doménu, a s tím, jestli prošly. Služba pro DMARC reporty z nich udělá čitelný přehled, stačí ale i schránka, kterou máte pod kontrolou.