DMARC-Eintrag prüfen: Einen DMARC-Record verständlich lesen
Ein DMARC-Record ist eine Textzeile, die entscheidet, was mit Mails geschieht, die sich als Sie ausgeben. Geben Sie eine Domain ein, um ihn abzurufen, jeden Tag erklärt zu bekommen und herauszufinden, ob die Richtlinie die Domain tatsächlich schützt oder nur beobachtet.
Was DMARC zusätzlich zu SPF und DKIM leistet
Eine DMARC-Richtlinie steht in einem TXT-Record unter _dmarc.ihredomain.com. Trifft eine Nachricht ein, die vorgibt, von Ihrer Domain zu stammen, prüft der Empfänger SPF und DKIM. DMARC besteht, wenn mindestens eines davon besteht und seine Domain mit der From-Adresse übereinstimmt, die der Leser sieht. Besteht keines, wendet der Empfänger Ihre Richtlinie an.
Dieser letzte Teil, das Alignment, ist der Grund, warum DMARC mehr ist als zusammengeheftetes SPF und DKIM. Er verhindert, dass ein Angreifer SPF mit seiner eigenen Domain besteht und in der From-Zeile Ihre anzeigt.
Die drei Richtlinien und wann Sie eine Stufe höher gehen
| Richtlinie | Was Empfänger mit fehlgeschlagenen Mails tun | Wann sie sich eignet |
|---|---|---|
| p=none | Wie gewohnt zustellen und Ihnen Berichte senden | Der Startpunkt: Sie beobachten und lernen |
| p=quarantine | Als verdächtig behandeln, meist im Spam-Ordner | Sobald Berichte zeigen, dass Ihre echten Mails bestehen |
| p=reject | Die Nachricht ablehnen | Das Ziel für Domains, die zuverlässig Mails senden |
Jeder DMARC-Tag in verständlicher Sprache
| Tag | Bedeutung |
|---|---|
| v=DMARC1 | Die Version. Sie muss an erster Stelle stehen |
| p | Richtlinie für die Domain: none, quarantine oder reject |
| sp | Richtlinie für Subdomains. Ohne ihn folgen Subdomains p |
| pct | Der Prozentsatz der fehlgeschlagenen Mails, auf den die Richtlinie angewendet wird |
| rua | Wohin tägliche aggregierte Berichte gesendet werden, als mailto:-Adressen |
| ruf | Wohin einzelne Fehlerberichte gesendet werden. Nur wenige Empfänger senden sie |
| adkim und aspf | Alignment-Modus für DKIM und SPF: r (relaxed, der Standard) oder s (strict) |
| fo | Welche Fehlschläge Fehlerberichte auslösen sollen |
DMARC einführen, ohne echte Mails zu verlieren
- Veröffentlichen Sie v=DMARC1; p=none; rua=mailto:dmarc-reports@ihredomain.com. Für die Zustellung ändert sich nichts, und es treffen Berichte ein.
- Lesen Sie die Berichte einige Wochen lang. Sie listen jede Quelle auf, die Mails mit Ihrer Domain als Absender sendet, und ob sie bestanden hat. Ein DMARC-Berichtsdienst kann das XML in etwas Lesbares umwandeln.
- Beheben Sie jeden legitimen Absender, der durchfällt, indem Sie ihn zu SPF hinzufügen oder die DKIM-Signierung für ihn einschalten.
- Wechseln Sie zu p=quarantine, optional mit pct=25 und später höher, während Sie auf Probleme achten.
- Wechseln Sie zu p=reject, wenn die Berichte zeigen, dass nur nicht autorisierte Mails durchfallen.