DMARC: wyjaśnienie
Czym dokładnie jest DMARC?
DMARC to trzeci, nadrzędny filar uwierzytelniania poczty, zbudowany na SPF i DKIM. Nazwa to skrót od Domain-based Message Authentication, Reporting and Conformance. SPF i DKIM sprawdzają każdy swój fragment (który serwer może wysyłać i czy wiadomość jest niezmieniona), ale nie mówią nic o tym, co ma się stać, gdy taka weryfikacja się nie powiedzie. Tę lukę wypełnia DMARC.
DMARC robi dwie rzeczy jednocześnie. Ustala politykę: co odbiorca ma zrobić z wiadomością, która nie przechodzi ani SPF, ani DKIM? I zapewnia raportowanie: regularnie dostajesz zestawienia tego, kto wysyła pocztę w imieniu twojej domeny, także podmiotów, które robią to bezprawnie.
Ważne jest przy tym jedno pojęcie: alignment, czyli zgodność domen. DMARC wymaga nie tylko, żeby SPF lub DKIM przeszły weryfikację, ale też żeby domena w tej weryfikacji zgadzała się z domeną, którą czytelnik widzi jako nadawcę. Dzięki temu ktoś z ważnym podpisem z innej domeny nie może i tak udawać, że pisze w twoim imieniu.
Co daje ci DMARC?
DMARC daje trzy rzeczy, z których masz realną korzyść.
- Kontrola nad nadużyciami. To ty decydujesz, co dzieje się ze sfałszowaną pocztą, która podszywa się pod twoją domenę. Tak znacznie utrudniasz spoofing i phishing w twoim imieniu.
- Wgląd dzięki raportom. Raporty pokazują, które serwery wysyłają pocztę w imieniu twojej domeny. Przydaje się to do rozpoznania prawidłowych źródeł i wykrywania nadużyć.
- Lepsza dostarczalność i zaufanie. Poprawna polityka DMARC daje dużym dostawcom poczty dodatkową pewność, że twoja poczta jest autentyczna.
Od 2024 roku duzi dostawcy poczty wymagają od nadawców masowych opublikowania co najmniej polityki DMARC. Jeśli twoja poczta mimo to trafia do spamu, przeczytaj też dlaczego moje maile trafiają do spamu.
Jak poprawnie skonfigurować DMARC?
Rekord DMARC to rekord DNS typu TXT pod adresem _dmarc.twojadomena.eu. Zawiera on twoją politykę i adres, na który mają trafiać raporty.
Uproszczony przykład:
v=DMARC1; p=none; rua=mailto:raporty@twojadomena.eu
v=DMARC1oznacza, że chodzi o rekord DMARC.p=to twoja polityka:none(tylko obserwacja),quarantine(do spamu) lubreject(odrzucenie).rua=to adres, na który trafiają raporty zbiorcze.
Zalecamy spokojne, stopniowe zaostrzanie:
- Zacznij od
p=none. Nie zmieniasz jeszcze niczego w doręczaniu, ale zbierasz raporty. - Sprawdź w tych raportach, które źródła wysyłają pocztę w twoim imieniu, i zadbaj o to, żeby wszystkie prawidłowe przechodziły SPF i DKIM.
- Potem przejdź na
p=quarantine, a w końcu nap=reject, gdy masz pewność, że nic prawidłowego już nie przepada.
Na co trzeba uważać:
- Nigdy nie ustawiaj DMARC od razu na
reject. Bez wcześniejszej obserwacji ryzykujesz, że twoja własna poczta zostanie odrzucona. - Najpierw zadbaj o poprawne SPF i DKIM. DMARC się na nich opiera; jeśli nie są ustawione dobrze, DMARC działa na twoją niekorzyść.
- Czytaj raporty. Raportowanie to połowa korzyści z DMARC; nie ignoruj go.
Jeśli chcesz zrobić to samodzielnie, skorzystaj z osobnego poradnika jak skonfigurować DMARC. Zwięzłą definicję znajdziesz w słowniku pojęć: DMARC.
DMARC opiera się na SPF i DKIM
DMARC działa tylko wtedy, gdy dwie warstwy pod nim są w porządku: SPF określa, które serwery mogą wysyłać, DKIM podpisuje twoje wiadomości, a DMARC spina wszystko polityką i raportowaniem. Wszystkie trzy ustawisz razem dzięki poradnikowi SPF, DKIM i DMARC: konfiguracja krok po kroku.
Jak Mailflux załatwia to za ciebie
W Mailflux nie musisz samodzielnie pisać polityki ani rozszyfrowywać raportów. Zarządzamy SPF, DKIM i DMARC dla twojej domeny i pilnujemy reputacji IP naszych serwerów wysyłających, żeby twoja poczta była odbierana jako wiarygodna, a twoje dobre imię pozostało chronione. Każdy plan filtruje ponadto spam, phishing i złośliwe oprogramowanie z pomocą uczenia maszynowego (machine learning), ze standardową ochroną antywirusową, antyspamową i antymalware oraz automatycznymi kopiami zapasowymi.
Dostajesz profesjonalną pocztę we własnej domenie, hostowaną w Europie i zgodną z RODO, z opcjonalną weryfikacją dwuetapową. Politykę za kulisami załatwiamy my.
FAQ
Najczęściej zadawane pytania
Czym różni się DMARC od SPF i DKIM?
SPF określa, które serwery mogą wysyłać w twoim imieniu, DKIM podpisuje wiadomość, żeby manipulacja wyszła na jaw, a DMARC spina te dwa elementy: wiąże weryfikację z widocznym nadawcą i określa, co się dzieje, gdy weryfikacja się nie powiedzie. DMARC dodaje też raporty o tym, kto wysyła pocztę w twoim imieniu.
Co oznaczają `p=none`, `quarantine` i `reject`?
To twoja polityka DMARC. none nie zmienia niczego w doręczaniu i pozwala ci tylko obserwować dzięki raportom. quarantine przenosi pocztę, która nie przeszła weryfikacji, do spamu. reject całkowicie ją odrzuca. Przechodzisz stopniowo od none do reject, gdy masz pewność, że prawidłowa poczta nie przepada.
Co zrobić z raportami DMARC?
Raporty pokazują, które serwery wysyłają pocztę w imieniu twojej domeny, łącznie z nieuprawnionym użyciem. Używasz ich, żeby sprawdzić, czy wszystkie twoje prawidłowe źródła przechodzą SPF i DKIM, i żeby wykrywać nadużycia. Dopiero gdy to się zgadza, krok po kroku zaostrzasz swoją politykę.