DMARC: čo robiť s poštou, ktorá neprejde (a ako ho zapnúť bezpečne)
DMARC (Domain-based Message Authentication) je posledný z trojice SPF – DKIM – DMARC. Kým SPF hovorí kto smie posielať a DKIM poštu podpíše, DMARC určí, čo má prijímajúci server spraviť s mailom, ktorý kontrolou neprejde – a navyše vám posiela súhrny, kto za vašu doménu odosiela (aj prípadní podvodníci).
Ako vyzerá
Bezpečný začiatočný záznam do DNS (TXT), názov _dmarc:
v=DMARC1; p=none; rua=mailto:postmaster@vasadomena.sk
- p=none – režim politiky. „none" = len sleduje a hlási, nič neblokuje.
- rua=mailto:… – adresa, kam majú chodiť denné súhrny (XML). Dajte schránku, ktorú naozaj čítate; ak je na inej doméne, treba tam ešte povoľovací záznam.
Prečo začať výhradne na p=none
DMARC prejde, ak prejde SPF alebo DKIM – a k tomu zarovnaný s doménou v adrese odosielateľa. Ak hneď nastavíte prísny režim a niektorý váš odosielateľ (newsletter, web cez SMTP, rezervačný systém) nie je poriadne zahrnutý, zablokujete si vlastnú legitímnu poštu. Preto:
- p=none – zapnite a nechajte 2–4 týždne. Nič sa neblokuje, len zbierate dáta.
- Zo súhrnov overte, že všetka vaša pošta prechádza (SPF/DKIM zarovnané).
- Potom p=quarantine – podozrivé maily pôjdu do spamu.
- Nakoniec p=reject – neoverené maily sa rovno odmietnu (najsilnejšia ochrana).
Nepreskakujte rovno na reject. Kým vám SPF alebo DKIM spoľahlivo neprechádza, DMARC narobí viac škody než osohu.
Ako čítať súhrny
Na rua adresu chodia denne XML súbory od Googlu, Microsoftu a spol. – surové sa
čítajú ťažko. Buď použite bezplatnú službu na ich spracovanie (napr. Postmark DMARC, dmarcian),
ktorá vám z nich spraví prehľad, alebo si nechajte poradiť. Hľadáte v nich hlavne: prechádza
moja vlastná pošta? a neposiela niekto cudzí za moju doménu?
Bez SPF/DKIM to nemá zmysel
DMARC sám nič nepodpisuje ani nepovoľuje – len nadväzuje na SPF a DKIM. Ak ešte nemáte ani jeden z nich, začnite tam; DMARC pridajte ako tretí krok.