Jak odczytać raport DMARC
Za pomocą rekordu DMARC informują Państwo odbiorców, co mają zrobić z wiadomościami, które rzekomo pochodzą z Państwa domeny, ale nie przechodzą kontroli. Mogą Państwo również poprosić o przesyłanie raportów. Znajdą w nich Państwo informacje o tym, które serwery wysyłają pocztę w imieniu Państwa domeny oraz czy ta poczta przechodzi przez SPF, DKIM i DMARC. Dzięki temu znajdą Państwo usługę, o której zapomnieli, oraz sprawdzą, czy ktoś nie nadużywa Państwa domeny. Czym jest DMARC, można przeczytać w artykule Czym jest DMARC? Wyjaśnienie w prostych słowach.
Włączanie raportów: adres rua
Raporty otrzymają Państwo tylko wtedy, gdy w rekordzie DMARC znajduje się adres do raportów, po oznaczeniu rua=. Domyślny rekord przy pakiecie hostingowym WebOké to v=DMARC1;p=reject, bez adresu do raportów. W takim przypadku nie otrzymają Państwo żadnych raportów. Mogą Państwo dodać adres bez zmiany polityki:
v=DMARC1; p=reject; rua=mailto:dmarc@jouwdomein.nl
W DirectAdmin, w sekcji Zarządzanie DNS, klikają Państwo ikonę ołówka obok rekordu _dmarc i wpisują adres w polu Zagregowany e-mail (RUA). Zobacz Konfiguracja DMARC. W Moje WebOké korzystają Państwo z pomocnika DMARC na karcie DNS: Pomocniki DNS: MX, SPF, DMARC, CAA i SRV. Jaką politykę (p=) wybrać, opisano w artykule Tworzenie rekordu DMARC w DirectAdmin.
Ponadto istnieje oznaczenie ruf=, służące do raportów o błędach dotyczących pojedynczych, nieudanych wiadomości. Mogą one zawierać fragmenty rzeczywistej wiadomości, a prawie żaden duży odbiorca ich nie wysyła. Proszę pozostawić ruf puste: potrzebne są Państwu jedynie raporty zbiorcze z rua.
dmarc@jouwdomein.nl, aby zwykła poczta nie została zasypana. Proszę obserwować tę skrzynkę: raporty również zajmują miejsce w Państwa przestrzeni dyskowej.Co Państwo otrzymują
Raport to wiadomość e-mail z załącznikiem: plikiem XML, zwykle spakowanym jako .gz lub .zip. Nazwa pliku wskazuje, kto go wysłał, której domeny dotyczy i za jaki okres, na przykład google.com!jouwdomein.nl!1793923200!1794009599.xml.gz. Liczby oznaczają momenty w sekundach od 1970 roku. Raport nie zawiera treści wiadomości: jedynie informacje o tym, ile wiadomości wysłano z danego serwera i jak wypadły kontrole.
Odczytywanie jednego wiersza
Każdy blok <record> dotyczy jednego adresu IP wysyłającego:
<row>
<source_ip>198.51.100.40</source_ip>
<count>1250</count>
<policy_evaluated>
<disposition>none</disposition>
<dkim>fail</dkim>
<spf>fail</spf>
</policy_evaluated>
</row>
<identifiers>
<header_from>jouwdomein.nl</header_from>
</identifiers>
<auth_results>
<dkim><domain>nieuwsbriefdienst.example</domain><result>pass</result></dkim>
<spf><domain>bounce.nieuwsbriefdienst.example</domain><result>pass</result></spf>
</auth_results>
| Element | Znaczenie |
|---|---|
source_ip | Adres IP serwera, który dostarczył wiadomość. |
count | Liczba wiadomości z tego adresu IP z tym wynikiem. |
disposition | Co zrobił odbiorca: pass lub none (dostarczono), quarantine (folder spam) lub reject (odrzucono). |
dkim i spf w sekcji policy_evaluated | Wynik DMARC: czy DKIM lub SPF zakończyły się powodzeniem dla domeny powiązanej z adresem nadawcy (zgodność, alignment)? |
header_from | Domena w adresie nadawcy wiadomości. |
auth_results | Surowy wynik SPF i DKIM wraz z domeną, której dotyczył. |
Proszę zwrócić uwagę na różnicę między auth_results a policy_evaluated. W przykładzie zarówno DKIM, jak i SPF kończą się powodzeniem, ale dla domeny usługi newsletterowej. Ta domena nie jest powiązana z jouwdomein.nl, więc DMARC kończy się niepowodzeniem. Przy p=reject te 1250 wiadomości zostaną odrzucone.
Jak znaleźć zapomnianą usługę
- Proszę sprawdzić
policy_evaluatedw każdym wierszu. Jeśli przydkimlubspfwidniejepass, dane źródło jest w porządku. - Jeśli oba zawiodą, proszę sprawdzić w
auth_results, jaka domena jest podana. Czy rozpoznają Państwo własną usługę, na przykład program księgowy, sklep internetowy lub usługę newsletterową? Jeśli tak, proszę włączyć w tej usłudze DKIM z własną domeną i w razie potrzeby dodać tę usługę do rekordu SPF. Zobacz Dodawanie lub zmiana rekordu SPF w DirectAdmin oraz Konfiguracja DKIM, gdy DNS znajduje się u innego dostawcy. - Nie rozpoznają Państwo domeny? Proszę sprawdzić, do kogo należy adres IP, na przykład za pomocą wyszukiwania whois. Nieznany adres IP, przy którym wszystko kończy się niepowodzeniem, zwykle oznacza, że ktoś nadużywa Państwa domeny. Właśnie przed tym chroni polityka DMARC.
Jeśli widzą Państwo nieznany adres IP, przy którym SPF zawodzi, ale DKIM kończy się powodzeniem dla Państwa własnej domeny, zwykle oznacza to, że ktoś przesłał dalej Państwa wiadomość. DMARC w takim przypadku jest spełniony dzięki DKIM i nie muszą Państwo nic robić.
Jak uczynić raporty czytelnymi
Jeden raport mogą Państwo otworzyć w przeglądarce lub w programie wyświetlającym pliki XML. Jeśli otrzymują Państwo ich dużo, istnieją usługi raportowania (również bezpłatne) oraz programy open source, które zbierają raporty i tworzą z nich zestawienia. Proszę pamiętać, że taka usługa widzi wówczas, które serwery wysyłają pocztę w imieniu Państwa domeny. Warto wybrać usługę, której Państwo ufają i która przestrzega RODO.
Jeśli adres do raportów znajduje się w innej domenie niż Państwa własna, na przykład u dostawcy usługi raportowania, ta inna domena musi wyrazić zgodę za pomocą specjalnego rekordu, na przykład jouwdomein.nl._report._dmarc.rapportdienst.example. Bez tego rekordu odbiorcy nie wyślą raportów na ten adres. Dostawca usługi raportowania zazwyczaj sam konfiguruje ten rekord. Więcej informacji: RFC 9990, rozdział 4.