Czym jest DMARC? Wyjaśnienie prostym językiem
DMARC to ustawienie dla nazwy domeny, które informuje serwery odbiorców, co mają zrobić z wiadomościami podającymi się za wysłane z Państwa domeny, choć w rzeczywistości nie pochodzą od Państwa. Chroni ono Państwa oraz osoby, do których Państwo piszą, przed fałszywymi wiadomościami wysyłanymi w Państwa imieniu (spoofing i phishing), a przy tym sprawia, że prawdziwa poczta lepiej dociera do adresatów.
W skrócie
- DMARC to rekord TXT w DNS Państwa domeny o nazwie
_dmarc. - Opiera się na dwóch innych mechanizmach kontroli: SPF (które serwery mogą wysyłać pocztę w imieniu domeny) oraz DKIM (cyfrowy podpis każdej wiadomości).
- W rekordzie DMARC wybierają Państwo politykę: nic nie robić, przenosić do spamu lub odrzucać.
- Duzi dostawcy poczty, tacy jak Gmail, Outlook i Yahoo, oczekują dziś rekordu DMARC. Bez niego Państwa wiadomości częściej trafiają do spamu.
Dlaczego DMARC jest potrzebny?
Każdy może wysłać e-mail z nadawcą, który wygląda jak Państwa adres, na przykład info@twojadomena.pl. Odbiorca nie od razu zauważy, że to fałszerstwo. Oszuści wykorzystują to do podrabiania faktur lub kradzieży haseł. Dzięki DMARC pokazują Państwo, które wiadomości naprawdę pochodzą od Państwa, i proszą odbiorcę o odrzucanie fałszywej poczty lub przenoszenie jej do spamu.
Jak to działa?
Gdy przychodzi wiadomość, w której nadawcą jest Państwa domena, serwer pocztowy odbiorcy sprawdza trzy rzeczy:
- SPF: czy wiadomość została wysłana z serwera wymienionego w rekordzie SPF Państwa domeny?
- DKIM: czy cyfrowy podpis, który Państwa serwer pocztowy dodał do wiadomości, jest prawidłowy?
- DMARC: czy pozytywny wynik kontroli SPF lub DKIM rzeczywiście dotyczy domeny z adresu nadawcy? Jeśli tak, wiadomość jest w porządku. Jeśli nie, odbiorca stosuje politykę z Państwa rekordu DMARC.
Jak wygląda rekord DMARC?
Rekord DMARC to rekord TXT ustawiony dla _dmarc.twojadomena.pl, na przykład:
v=DMARC1; p=quarantine; rua=mailto:dmarc@twojadomena.pl
| Element | Znaczenie |
|---|---|
v=DMARC1 | Oznacza, że jest to rekord DMARC. Zawsze znajduje się na początku. |
p=none | Polityka „nic nie rób”: odbiorca normalnie dostarcza wiadomość, ale mogą Państwo otrzymywać raporty. Dobry punkt wyjścia. |
p=quarantine | Polityka „kwarantanna”: wiadomości, które nie przejdą kontroli, trafiają do folderu spam. Takie ustawienie zalecamy domyślnie. |
p=reject | Polityka „odrzuć”: wiadomości, które nie przejdą kontroli, w ogóle nie są dostarczane. Najbardziej restrykcyjne i najbezpieczniejsze ustawienie. |
rua=mailto:... | Opcjonalnie: adres e-mail, na który otrzymują Państwo codzienne raporty o tym, kto wysyła pocztę w imieniu Państwa domeny. |
Krok po kroku
- Proszę upewnić się, że SPF jest poprawny. Jeśli wysyłają Państwo pocztę także przez inną usługę, na przykład program do newsletterów lub Microsoft 365, należy ją również dodać do rekordu SPF. Więcej w artykule Dodawanie lub zmiana rekordu SPF w DirectAdmin.
- Proszę upewnić się, że DKIM jest włączony. W pakietach hostingowych WebOké DKIM jest domyślnie włączony dla poczty wysyłanej przez nasze serwery.
- Proszę utworzyć rekord DMARC. W razie wątpliwości warto zacząć od
p=nonez adresem do raportów, a po kilku tygodniach przejść nap=quarantinelubp=reject. Jak utworzyć rekord, wyjaśniamy w artykule Tworzenie rekordu DMARC w DirectAdmin. Można to również zrobić w Moje WebOké, w sekcji Moje domeny, w zakładce DNS. - Proszę sprawdzić ustawienia. Nasz bezpłatny test poczty e-mail od razu pokaże, czy SPF, DKIM i DMARC są ustawione prawidłowo. Pomocna jest również lista kontrolna Internet.nl.
Najczęściej zadawane pytania
Czy po włączeniu DMARC moja własna poczta będzie odrzucana?
Nie, jeśli SPF i DKIM są ustawione prawidłowo. Jeśli jednak wysyłają Państwo pocztę przez usługę, której nie ma w rekordzie SPF i która nie podpisuje wiadomości Państwa domeną, przy ustawieniu p=quarantine lub p=reject takie wiadomości mogą trafić do spamu lub zostać odrzucone. Dlatego w razie wątpliwości warto zacząć od p=none i sprawdzić w raportach, kto wysyła pocztę w imieniu Państwa domeny.
Czy muszę podać adres do raportów?
Nie jest to konieczne. Raporty są techniczne i przydają się głównie wtedy, gdy chcą Państwo wiedzieć, które usługi wysyłają pocztę w imieniu Państwa domeny. Najlepiej przeznaczyć na nie osobny adres, ponieważ codziennie może przychodzić kilka raportów.
Korzystam z Microsoft 365 lub Google Workspace. Czy DMARC też zadziała?
Tak. Należy dodać daną usługę do rekordu SPF, włączyć w niej DKIM, a następnie utworzyć rekord DMARC w WebOké. Kolejność ma znaczenie: najpierw SPF i DKIM, potem DMARC.
Czy macie dla mnie gotowy rekord DMARC?
Tak. Jeśli rekord DMARC jeszcze nie istnieje, test poczty e-mail i Moje WebOké zaproponują rekord v=DMARC1; p=quarantine. Jeśli mają Państwo trudności, prosimy o wiadomość: chętnie pomożemy.