DMARC – základní informace a nastavení
DMARC je bezpečnostní TXT záznam v DNS, který pomáhá chránit doménu proti zneužití pro rozesílání podvržených e-mailů (spoofing).
Navazuje na technologie SPF a DKIM a určuje, jak mají přijímající poštovní servery nakládat se zprávami, které těmito kontrolami neprojdou.
Ke každé doméně, která u nás využívá správu DNS záznamů, je připravena výchozí hodnota DMARC záznamu.
Kam se DMARC vkládá
DMARC se nastavuje jako TXT záznam do DNS.
Název záznamu:
_dmarc.mojedomena.cz
Typ: TXT
Základní nastavení
Minimální doporučený zápis:
v=DMARC1; p=none
Význam:
v=DMARC1 Verze protokolu DMARC (povinný parametr)
p=none Režim monitorování – zprávy nejsou blokovány ani přesouvány do spamu
Možné hodnoty parametru p
- none – Pouze monitorování
- quarantine – Doporučeno přesunout zprávu do spamu
- reject – Doporučeno zprávu odmítnout
Rozšířené nastavení – reporty
DMARC umožňuje zasílání reportů o tom:
- kdo odesílá e-maily jménem domény
- zda zprávy procházejí SPF a DKIM
- jak byly vyhodnoceny přijímajícími servery
Agregované reporty (rua)
Příklad:
v=DMARC1; p=none; rua=mailto:dmarc@mojedomena.cz
rua= Adresa pro zasílání souhrnných (agregovaných) reportů.
Reporty obvykle obsahují:
- IP adresy odesílajících serverů
- počet zpráv
- výsledky SPF a DKIM
- způsob vyhodnocení u příjemce
Reporty bývají zasílány zpravidla 1× denně ve formátu XML.
Detailní reporty (ruf)
Příklad:
v=DMARC1; p=quarantine; rua=mailto:dmarc@mojedomena.cz; ruf=mailto:dmarc@mojedomena.cz
ruf= Adresa pro zasílání detailních reportů o jednotlivých neúspěšných zprávách.
Poznámka:
Ne všichni poskytovatelé detailní reporty zasílají a mohou obsahovat části původní zprávy.
Další volitelné parametry
sp=reject Politika pro subdomény (např. info.mojedomena.cz).
Příklad:
v=DMARC1; p=reject; sp=reject
- pct=50
Politika bude aplikována pouze na 50 % zpráv.
Vhodné při postupném nasazování.
Příklad:
v=DMARC1; p=quarantine; pct=50
- adkim=s
Striktní kontrola DKIM. Doména v DKIM podpisu musí přesně odpovídat doméně odesílatele.
- aspf=s
Striktní kontrola SPF. Doména použitá při SPF kontrole musí přesně odpovídat doméně odesílatele.
Doporučený postup
Začněte s: v=DMARC1; p=none Pokud chcete reporty, přidejte například: rua=mailto:dmarc@mojedomena.cz
Zkontrolujte, že legitimní e-maily správně procházejí SPF a DKIM.
Následně můžete přejít na: p=quarantine
Pro maximální ochranu domény doporučujeme: p=reject
