Nastavite DMARC

SPF in DKIM prejemnemu strežniku pokažeta, da sporočilo ni prišlo od vas. DMARC mu pove, kaj naj s tem naredi: vseeno dostavi, premakne med vsiljeno pošto ali zavrne. Poleg tega prejemnike prosi, da vam vsak dan pošljejo poročila o tem, kdo pošilja pošto kot vaša domena. Pogosto je to prvič, da izveste za pozabljeno orodje za e-novice ali za nekoga, ki ponareja vaše račune.

Od februarja 2024 Gmail in Yahoo zahtevata zapis DMARC od vseh, ki jima pošljejo več kot približno 5.000 sporočil na dan, leta 2025 pa se jima je pridružil Outlook.com. Manjši pošiljatelji brez njega niso kar blokirani, izgubijo pa točke zaupanja, ki odločajo med prejeto in vsiljeno pošto.

Kontrolni seznam strani to postavko označi kot napako, kadar zapisa DMARC ni, in kot opozorilo, kadar je pravilnik p=none: opazujete, ponarejena pošta pa se še vedno dostavlja.

Zapis#

DMARC je en zapis TXT na imenu _dmarc pred vašo domeno:

Tip	Ime	Vrednost	TTL
TXT	_dmarc (_dmarc.example.com)	v=DMARC1; p=none; rua=mailto:dmarc@example.com	3600

Oznaka	Pomen
v=DMARC1	obvezno, biti mora na začetku
p=none	samo poročaj, pri dostavi ne spreminjaj ničesar
p=quarantine	pošta, ki ne prestane preverjanja, gre med vsiljeno
p=reject	pošta, ki ne prestane preverjanja, se zavrne
rua=mailto:…	kam prejemniki pošiljajo dnevna zbirna poročila (XML)
pct=25	pravilnik velja le za 25 % neuspele pošte; ostalo se obravnava stopnjo mileje
sp=	ločen pravilnik za poddomene (sicer podedujejo p)

Sporočilo prestane DMARC, ko uspe SPF ali DKIM in se domena, za katero je uspel, ujema z naslovom From. Orodje za e-novice, ki pošilja s svojo domeno, prestane SPF zase, ne za vas, zato DMARC ne prestane, dokler zanj ne nastavite DKIM-a ali lastne domene za pošiljanje.

Nasvet: poročila na predal v drugi domeni (rua=mailto:reports@example.org) delujejo le, če ta domena objavi zapis z dovoljenjem. Storitve za poročila to uredijo same; z lastnim predalom uporabite naslov v isti domeni.

Preverite sami#

Namesto example.com vpišite svojo domeno:

dig +short TXT _dmarc.example.com

V sistemu Windows:

nslookup -type=TXT _dmarc.example.com

Če se ne izpiše nič, zapisa ni. Popravljeno pomeni eno vrstico, ki se začne z "v=DMARC1; in vsebuje p=quarantine ali p=reject.

Od none do reject po korakih#

Ne začnite s p=reject. Vsaka storitev, ki pošilja kot vaša domena in še ni nastavljena (kontaktni obrazec na strani, računovodski program, CRM, tiskalnik, ki pošilja skene), bi čez noč izgubila svojo pošto.

1. Začnite s p=none in naslovom za poročila. v=DMARC1; p=none; rua=mailto:dmarc@example.com. Pri dostavi se nič ne spremeni.
2. Dva do štiri tedne berite poročila. So v XML, eno na prejemnika na dan. Brezplačen pregledovalnik poročil (več storitev DMARC ima brezplačno različico) jih pretvori v seznam virov pošiljanja. Za vsak legitimen vir, ki ne uspe, nastavite SPF ali DKIM (Popravite SPF, Nastavite DKIM).
3. Preklopite na p=quarantine, po želji s pct=25 in nato višje. Še teden ali dva spremljajte poročila in pritožbe.
4. Preklopite na p=reject, ko poročila kažejo, da uspevajo samo vaši viri, neuspeli pa so ponaredki.

Kontrolni seznam se od 3. koraka naprej obarva OK.

Opozorilo: p=reject, preden so poročila čista, bo tiho zavrgel pravo pošto: pošiljatelj dobi vrnjeno sporočilo, če vrnjena sporočila sploh kdo bere, vi pa za to izveste tedne kasneje od stranke.

Kako popraviti#

Zapis gre tja, kjer gostuje DNS domene, ne v poštni sistem. Google Workspace in Microsoft 365 vam samo povesta, kaj dodati. dig +short NS example.com izpiše imenske strežnike, če niste prepričani, kje je DNS.

Potrdite popravek#

Znova poženite ukaz dig iz razdelka Preverite sami, nato v PulseKeeperju odprite tarčo in na zavihku Kontrolni seznam kliknite Preveri zdaj. Ko je pravilnik quarantine ali reject, se postavka v nekaj minutah obarva OK; s p=none ostane opozorilo, kot je prav, dokler berete poročila.