Jak skonfigurować DMARC
Czego potrzebujesz
- Skrzynkę e-mailową Mailflux we własnej domenie.
- Dostęp do zarządzania DNS u rejestratora domeny lub firmy hostingowej.
- Działający rekord SPF i DKIM. DMARC opiera się na tych dwóch, więc najpierw ustaw je poprawnie. Jak to wszystko się łączy, przeczytasz w artykule rekordy DNS poczty: wyjaśnienie.
- Adres e-mail, na który chcesz otrzymywać raporty.
DMARC: krok po kroku
- Najpierw sprawdź, czy SPF i DKIM już działają. Bez nich DMARC nie ma na czym się oprzeć.
- Zaloguj się u swojego rejestratora domeny i otwórz zarządzanie DNS swojej domeny.
- Kliknij Dodaj rekord i wybierz typ TXT.
- W polu Nazwa (lub Host) wpisz dokładnie
_dmarc. Niektórzy rejestratorzy automatycznie dopisują za nią twoją domenę, to normalne. - W polu Wartość wpisz treść rekordu DMARC. Budowa jest standardowa i wygląda tak:
v=DMARC1; p=none; rua=mailto:dmarc@twojafirma.pl
- Zastąp
twojafirma.plwłasną domeną, żeby raporty trafiały do ciebie. - Zapisz rekord. Gotowe.
Co oznacza ta polityka (p=)?
Element p= określa, co dzieje się z pocztą, która nie przechodzi kontroli. Zawsze zaczynaj od p=none: wtedy w dostarczaniu nic się jeszcze nie zmienia, ale dostajesz raporty (rua), w których widzisz, kto wysyła pocztę w imieniu twojej domeny. Dzięki temu wykrywasz ukryte problemy, a żadna prawdziwa wiadomość nie przepada.
Jeśli po kilku tygodniach wszystko się zgadza, zaostrzasz zasady. Ustaw p=quarantine, żeby podejrzana poczta trafiała do folderu spamu, a później p=reject, żeby całkowicie ją odrzucać. Takie przejście od none przez quarantine do reject to bezpieczna droga: budujesz zaufanie, zanim zamkniesz drzwi. Chcesz najpierw zrozumieć, co dzieje się pod maską? Przeczytaj artykuł co to jest DMARC.
Nie działa?
- Nie dostajesz raportów. Sprawdź, czy adres po
rua=mailto:jest poprawny i czy rekord TXT ma nazwę_dmarc. - Istnieją dwa rekordy DMARC. Tak jak przy SPF, możesz mieć tylko jeden. Połącz wszystko w jednym rekordzie TXT, który zaczyna się od
v=DMARC1. - Prawidłowa poczta znika po ustawieniu
p=reject. Oznacza to, że SPF lub DKIM nie były jeszcze w pełni poprawne. Tymczasowo przywróćp=nanone, napraw rekordy, na których opiera się DMARC, i potem ponownie zaostrz zasady. - Zmiana wydaje się nie działać. Zmiany DNS mogą potrwać do 24 godzin. Daj im chwilę i sprawdź ponownie.
Prawie gotowe
Gdy twój rekord DMARC działa z ustawieniem p=none, przez jakiś czas obserwujesz raporty, a potem spokojnie zaostrzasz zasady do quarantine lub reject. Jeśli zamierzasz używać skrzynki także w programie pocztowym, dane czekają w artykule ustawienia serwera IMAP. DNS sprawia ci kłopot? Daj nam znać, chętnie to przejrzymy albo skonfigurujemy za ciebie.
FAQ
Najczęściej zadawane pytania
Czy potrzebuję SPF i DKIM, zanim skonfiguruję DMARC?
Tak. DMARC sprawdza, czy poczta została zaakceptowana przez SPF lub DKIM, i działa na tej podstawie. Bez tych dwóch rekordów DMARC nie ma się na czym oprzeć, a prawidłowa poczta może zostać niesłusznie odrzucona. Najpierw ustaw więc poprawnie SPF i DKIM, a DMARC dodaj potem jako warstwę zamykającą.
Od jakiej polityki najlepiej zacząć?
Zacznij od p=none. W dostarczaniu nic się wtedy nie zmienia, ale dostajesz raporty o tym, kto wysyła pocztę w imieniu twojej domeny. Jeśli po kilku tygodniach wszystko się zgadza, przechodzisz na quarantine, a w końcu na reject. W ten sposób krok po kroku budujesz ochronę, nie tracąc prawdziwej poczty.