Skonfiguruj DMARC

SPF i DKIM pozwalają serwerowi odbiorcy zobaczyć, że wiadomość nie pochodzi od Ciebie. DMARC mówi mu, co z tym zrobić: dostarczyć mimo to, przenieść do spamu czy odrzucić. Prosi też odbiorców o codzienne raporty o tym, kto wysyła pocztę jako Twoja domena. Często to pierwszy moment, w którym dowiadujesz się o zapomnianym narzędziu do newsletterów albo o kimś, kto podrabia Twoje faktury.

Od lutego 2024 Gmail i Yahoo wymagają rekordu DMARC od każdego, kto wysyła do nich więcej niż około 5000 wiadomości dziennie, a w 2025 dołączył Outlook.com. Mniejsi nadawcy bez niego nie są od razu blokowani, ale tracą punkty zaufania, które decydują między skrzynką odbiorczą a spamem.

Lista kontrolna strony oznacza tę pozycję jako błąd, gdy rekordu DMARC brak, i jako ostrzeżenie, gdy polityka to p=none: obserwujesz, ale podrobiona poczta wciąż jest dostarczana.

Rekord#

DMARC to jeden rekord TXT pod nazwą _dmarc przed Twoją domeną:

Typ	Nazwa	Wartość	TTL
TXT	_dmarc (_dmarc.example.com)	v=DMARC1; p=none; rua=mailto:dmarc@example.com	3600

Tag	Znaczenie
v=DMARC1	wymagany, musi być na początku
p=none	tylko raportuj, nic nie zmieniaj w dostarczaniu
p=quarantine	poczta, która nie przejdzie, trafia do spamu
p=reject	poczta, która nie przejdzie, jest odrzucana
rua=mailto:…	dokąd odbiorcy wysyłają codzienne raporty zbiorcze (XML)
pct=25	stosuj politykę tylko do 25% nieudanej poczty; resztę traktuj o stopień łagodniej
sp=	osobna polityka dla subdomen (w przeciwnym razie dziedziczą p)

Wiadomość przechodzi DMARC, gdy przejdzie SPF lub DKIM i domena, dla której przeszła, zgadza się z adresem From. Narzędzie do newsletterów wysyłające z własnej domeny przechodzi SPF dla siebie, nie dla Ciebie, więc nie przejdzie DMARC, dopóki nie skonfigurujesz dla niego DKIM lub własnej domeny nadawczej.

Wskazówka: raporty do skrzynki w innej domenie (rua=mailto:reports@example.org) działają tylko wtedy, gdy ta domena publikuje rekord z pozwoleniem. Usługi raportowe ustawiają to same; z własną skrzynką użyj adresu w tej samej domenie.

Sprawdź sam#

Zamiast example.com wpisz swoją domenę:

dig +short TXT _dmarc.example.com

W systemie Windows:

nslookup -type=TXT _dmarc.example.com

Brak wyniku oznacza brak rekordu. Naprawione oznacza jedną linię zaczynającą się od "v=DMARC1; i zawierającą p=quarantine lub p=reject.

Od none do reject krok po kroku#

Nie zaczynaj od p=reject. Każda usługa, która wysyła jako Twoja domena i nie jest jeszcze skonfigurowana (formularz kontaktowy na stronie, program księgowy, CRM, drukarka wysyłająca skany), z dnia na dzień straciłaby swoją pocztę.

1. Zacznij od p=none i adresu na raporty. v=DMARC1; p=none; rua=mailto:dmarc@example.com. W dostarczaniu nic się nie zmienia.
2. Czytaj raporty przez dwa do czterech tygodni. Są w XML, jeden na odbiorcę na dzień. Darmowa przeglądarka raportów (kilka usług DMARC ma darmowy plan) zamienia je w listę źródeł wysyłki. Dla każdego prawidłowego źródła, które nie przechodzi, skonfiguruj SPF lub DKIM (Napraw SPF, Skonfiguruj DKIM).
3. Przejdź na p=quarantine, opcjonalnie z pct=25, potem wyżej. Obserwuj raporty i zgłoszenia przez kolejny tydzień lub dwa.
4. Przejdź na p=reject, gdy raporty pokazują, że przechodzą tylko Twoje źródła, a nieudane to podróbki.

Lista kontrolna pokazuje OK od kroku 3.

Ostrzeżenie: p=reject, zanim raporty będą czyste, po cichu odrzuci prawdziwą pocztę: nadawca dostanie zwrot, o ile ktokolwiek czyta zwroty, a Ty dowiesz się o tym tygodnie później od klienta.

Jak to naprawić#

Rekord trafia tam, gdzie hostowany jest DNS domeny, a nie do systemu pocztowego. Google Workspace i Microsoft 365 tylko podpowiadają, co dodać. dig +short NS example.com pokaże serwery nazw, jeśli nie wiesz, gdzie jest DNS.

Potwierdź poprawkę#

Uruchom ponownie polecenie dig z sekcji Sprawdź sam, potem otwórz cel w PulseKeeper i kliknij Sprawdź teraz na zakładce Lista kontrolna. Gdy polityka to quarantine lub reject, pozycja zmieni się na OK w ciągu kilku minut; przy p=none zostaje ostrzeżenie, i tak powinno być, dopóki czytasz raporty.