DMARC

Domain-based Message Authentication, Reporting and Conformance

Także zwany: rekord DMARC, DMARC record

DMARC to standard uwierzytelniania poczty (RFC 7489), który łączy SPF i DKIM oraz mówi serwerom odbierającym, co robić z wiadomościami niespełniającymi kontroli - przepuścić, kwarantanna, czy odrzucić. Bez DMARC w polityce reject każdy może wysłać fałszywy mail z waszej domeny.

DMARC działa razem z SPF (kto może wysyłać z waszej domeny) i DKIM (kryptograficzny podpis wiadomości). Jeśli wiadomość nie spełnia SPF ani DKIM zgodnego z domeną nadawcy w From - DMARC mówi serwerowi odbierającemu, co zrobić.

Polityki

p=none - nic nie rób, tylko raportuj. Startowa konfiguracja, zbieranie raportów przez 4-8 tygodni.
p=quarantine - przenieś podejrzane do spamu.
p=reject - całkowicie odrzuć. Cel docelowy.

Wdrożenie krok po kroku

Skonfigurujcie SPF i DKIM dla każdego dostawcy wysyłającego pocztę z waszej domeny.
Dodajcie rekord DNS TXT _dmarc.wasza-domena.pl z v=DMARC1; p=none; rua=mailto:raporty@....
Zbierajcie raporty XML (narzędzia: dmarcian, Postmark, EasyDMARC) przez 4-8 tygodni.
Gdy 100% legitymnego ruchu przechodzi - p=quarantine, po miesiącu - p=reject.

Skok od razu na p=reject blokuje legitymny ruch przy każdym pominiętym dostawcy.