Poradnik
Sprawdzanie DMARC: rekord DMARC tag po tagu
DMARC mówi serwerom pocztowym odbiorców, co zrobić z wiadomościami, które podają się za wysłane z Twojej domeny, ale nie przechodzą SPF i DKIM. Błędny rekord oznacza, że podrobiona poczta przechodzi albo Twoje własne maile trafiają do spamu. Oto jak go sprawdzić.
Gdzie jest rekord DMARC
DMARC to rekord TXT pod _dmarc. przed nazwą Twojej domeny. Dla example.com sprawdź rekord TXT dla _dmarc.example.com:
_dmarc.example.com. TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; pct=100"Taki rekord musi być dokładnie jeden. Przy dwóch rekordach DMARC odbiorcy ignorują oba.
Tagi, które mają znaczenie
| Tag | Znaczenie | Przykład |
|---|---|---|
v | Wersja. Musi być pierwsza i musi mieć wartość DMARC1. | v=DMARC1 |
p | Polityka dla domeny: none (tylko raporty), quarantine (traktuj jako podejrzane, zwykle folder spam) lub reject (odrzuć wiadomość). | p=reject |
sp | Polityka dla subdomen. Domyślnie taka sama jak p. | sp=quarantine |
pct | Odsetek niezgodnych wiadomości, do których stosuje się politykę, 0–100. Domyślnie 100. | pct=25 |
rua | Dokąd są wysyłane raporty zbiorcze. | rua=mailto:dmarc@example.com |
ruf | Dokąd są wysyłane raporty o błędach. Wielu dostawców ich nie wysyła. | ruf=mailto:forensic@example.com |
adkim, aspf | Tryb dopasowania (alignment) dla DKIM i SPF: r relaxed (subdomeny pasują, domyślnie) lub s strict. | adkim=s |
p=none, quarantine czy reject?
- p=none niczego nie chroni; odbiorcy tylko wysyłają raporty. Używaj go przez kilka tygodni, żeby zobaczyć, kto wysyła pocztę w imieniu Twojej domeny.
- p=quarantine wysyła niezgodną pocztę do spamu. Bezpieczny krok, gdy wszystkie Twoje usługi przechodzą weryfikację.
- p=reject całkowicie blokuje podrobioną pocztę. Cel dla większości domen.
Rekord z p=none i bez rua nie daje ani ochrony, ani raportów, więc nie robi zupełnie nic.
Jak DMARC podejmuje decyzję: alignment
Wiadomość przechodzi DMARC, gdy przechodzi SPF lub DKIM i sprawdzana domena zgadza się z domeną w nagłówku From. SPF sprawdza nadawcę z koperty (Return-Path); DKIM sprawdza domenę d= w podpisie. Usługa newslettera, która podpisuje wiadomości własną domeną, przechodzi DKIM, ale nie przechodzi dopasowania DMARC, dopóki nie skonfigurujesz w niej DKIM dla swojej domeny.
Częste błędy
- Rekord jest ustawiony na samej domenie zamiast pod
_dmarc. - Dwa rekordy DMARC albo rekord DMARC wewnątrz rekordu SPF.
pctzostawiony poniżej 100 po testach, przez co większość podrobionej poczty nadal dociera.- Przejście na
p=reject, zanim każda usługa wysyłająca (CRM, helpdesk, newslettery) przechodzi SPF lub DKIM z dopasowaniem. - Raporty wysyłane na adres w innej domenie bez rekordu zgody tej domeny.
Sprawdź też SPF i DKIM
DMARC zależy od dwóch pozostałych. Rekord SPF musi zmieścić się w 10 zapytaniach DNS, łącznie z zagnieżdżonymi include, inaczej kończy się trwałym błędem. Klucze DKIM leżą pod nazwą selektora (na przykład google._domainkey), której DNS nie potrafi wylistować, więc musisz znać selektor używany przez Twojego dostawcę.