DMARC: co odbiorcy powinni robić z fałszywą pocztą

Moduł 4: Rekordy dla poczty e-mail · Czas czytania: 10 min

Cel lekcji: Po tej lekcji będą Państwo potrafili wyjaśnić, jak DMARC łączy SPF i DKIM, ułożyć poprawny rekord DMARC i krok po kroku zaostrzać politykę.

Kluczowe pojęcia: DMARC, _dmarc, v=DMARC1, polityka p=none / quarantine / reject, uzgadnianie (alignment), raporty rua, sp= i np=, tryb testowy t=, jeden rekord DMARC

Brakujący element

SPF (lekcja 4.3) sprawdza, z jakiego serwera pochodzi wiadomość, ale patrzy na techniczny adres koperty. DKIM (lekcja 4.4) sprawdza podpis, ale może on pochodzić z dowolnej domeny. Oszust może więc wysłać wiadomość z nagłówkiem "Od: info@example.com", która spokojnie przejdzie przez SPF dla swojej własnej domeny i będzie poprawnie podpisana przez swoją własną domenę.

DMARC (Domain-based Message Authentication, Reporting and Conformance) zamyka tę lukę. Zadaje jedno pytanie: czy udana kontrola SPF lub DKIM dotyczy domeny, którą odbiorca widzi w adresie "Od:"? Nazywa się to uzgadnianiem (alignment). A Państwo informują odbiorców, co mają zrobić, jeśli odpowiedź brzmi nie.

DMARC został opisany w 2015 roku w RFC 7489. W maju 2026 roku ukazała się wersja poprawiona jako oficjalny standard internetowy: RFC 9989 (wraz z RFC 9990 i 9991 dla raportów). Istniejące rekordy z v=DMARC1 pozostają ważne.

Jak decyduje odbiorca

Gdy przychodzi wiadomość od nadawcy info@example.com, odbiorca wykonuje następujące kroki:

1. SPF: czy wiadomość pochodzi z dozwolonego serwera i czy domena koperty należy do example.com?
2. DKIM: czy jest poprawny podpis i czy domena podpisująca (d=) należy do example.com?
3. DMARC: czy przynajmniej jeden z tych dwóch testów się powiódł i jest uzgodniony? Jeśli tak, wiadomość jest w porządku. Jeśli nie, odbiorca stosuje Państwa politykę.

Wystarczy, że jeden z dwóch się powiedzie. Dlatego DKIM jest tak ważny dla usług wysyłających pocztę z własnym adresem koperty, jak wiele usług newsletterowych: tam SPF się powiedzie, ale nie dla Państwa domeny. Tylko podpis DKIM z d=example.com sprawia wtedy, że wszystko jest w porządku.

"Należy do" oznacza domyślnie: tę samą domenę organizacyjną. nieuws.example.com należy do example.com. Nazywa się to uzgadnianiem relaxed. Z adkim=s lub aspf=s (strict) musi to być dokładnie ta sama domena. Dla niemal każdego wystarczy relaxed.

Jak wygląda rekord DMARC?

Rekord DMARC to rekord TXT pod nazwą _dmarc Państwa domeny:

_dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

Składa się z elementów (tagów) oddzielonych średnikiem.

Wybór polityki

Rozsądna kolejność:

1. Najpierw uporządkować SPF i DKIM dla wszystkich usług wysyłających pocztę w Państwa imieniu: dostawcy poczty, strony internetowej, usługi newsletterowej, programu księgowego, sklepu internetowego.
2. Zacząć od p=none z adresem rua. Przez kilka tygodni obserwować w raportach, które usługi wysyłają pocztę w imieniu Państwa domeny i czy przechodzą weryfikację.
3. Przejść do p=quarantine, a jeśli wszystko przebiega dobrze, przejść do p=reject.

Jeśli nie są Państwo pewni, czy wszystkie usługi są poprawnie skonfigurowane, nie należy od razu przechodzić do reject. Zapomniana usługa (na przykład program wysyłający faktury) wtedy przestanie docierać.

Niektóre firmy hostingowe od razu ustawiają przy nowym pakiecie surowy rekord DMARC (p=reject). Jest to bezpieczne, dopóki cała Państwa poczta przechodzi przez ich serwery. Jeśli korzystają Państwo również z innych usług do wysyłki poczty, należy najpierw sprawdzić SPF i DKIM tych usług.

Raporty

Dzięki rua=mailto:dmarc@example.com otrzymują Państwo od dużych odbiorców codzienne zestawienie (plik XML) z informacją, kto wysyłał pocztę w imieniu Państwa domeny i czy przechodziła weryfikację. Przydatne, ale techniczne. Warto użyć do tego osobnego adresu; szybko zbierze się kilka wiadomości dziennie. Istnieją usługi, które przedstawiają te raporty w czytelnej formie.

Jeśli wysyłają Państwo raporty na adres w innej domenie (na przykład usługi raportującej), ta domena musi wyrazić na to zgodę w swoim DNS. Usługa zazwyczaj sama się tym zajmuje.

Najczęstsze błędy

• Dwa rekordy DMARC. Na _dmarc może znajdować się tylko jeden rekord. Przy dwóch odbiorca zachowuje się tak, jakby Państwo w ogóle nie mieli DMARC. Należy zmienić istniejący rekord.
• Pod niewłaściwą nazwą. Rekord powinien znajdować się pod _dmarc.example.com, a nie pod samym example.com.
• Literówki w tagach. p=reject działa, p=rejected lub policy=reject nie. Bez poprawnego p= rekord jest traktowany jako p=none.
• Włączenie DMARC przed uporządkowaniem SPF i DKIM. Wtedy odrzucają Państwo własną pocztę.
• Zbyt szybkie sprawdzanie po zmianie. Rekord DMARC czasem ma długi TTL (na przykład cztery godziny). Po zmianie stary rekord będzie więc widoczny jeszcze przez chwilę.

Dlaczego to ma znaczenie

Od lutego 2024 roku Gmail i Yahoo wymagają od nadawców wysyłających duże ilości poczty (ponad około 5000 dziennie) rekordu DMARC, przynajmniej z p=none, oraz uzgodnionego powodzenia SPF lub DKIM. Microsoft wymaga tego samego od maja 2025 roku dla Outlook.com i Hotmail. Również dla mniejszych nadawców DMARC poprawia dostarczalność i chroni Państwa klientów przed fałszywymi fakturami wysyłanymi rzekomo w Państwa imieniu.

W praktyce: jak to wygląda w panelu

W tym przykładzie korzystamy z DirectAdmin. W Administracja DNS klikają Państwo na ołówek przy rekordzie TXT _dmarc, lub tworzą nowy rekord TXT o nazwie _dmarc i przy Typ rekordu TXT wybierają DMARC. Przy Typ polityki dla domeny wybierają Państwo Brak, Kwarantanna lub Odrzuć; przy Adres e-mail raportów zbiorczych (RUA) mogą Państwo opcjonalnie wpisać adres do raportów. Moje WebOké ma podobne narzędzie do DMARC na karcie DNS.

Jeśli Państwa panel nie ma takiego narzędzia, tworzą Państwo zwykły rekord TXT pod _dmarc i wpisują tekst ręcznie. Wynik jest taki sam.

Podsumowanie

• DMARC sprawdza, czy SPF lub DKIM przechodzi weryfikację dla domeny z adresu "Od:" (uzgadnianie).
• Rekord znajduje się pod _dmarc.<domena>, zaczyna się od v=DMARC1 i ma politykę p=none, quarantine lub reject.
• Najpierw SPF i DKIM dla wszystkich usług, potem p=none z raportami, a następnie zaostrzanie.
• Dokładnie jeden rekord DMARC na domenę.

Quiz

Zadanie

Zadanie Z4.5: Wyszukanie rekordu DMARC. Proszę wyszukać rekord DMARC domeny sidn.nl (strony SIDN, rejestru domeny .nl w Holandii) (lub własnej domeny). Proszę wkleić pełny rekord i podać, jaka polityka (p=) jest w nim ustawiona.

Zadanie O4.5: Samodzielna konfiguracja w strefie ćwiczeniowej. W strefie ćwiczeniowej raporty wysyłane są na stały adres ćwiczeniowy; przy swojej prawdziwej domenie należy użyć własnego adresu. Proszę utworzyć w swojej strefie ćwiczeniowej <code>.dnspractice.eu rekord DMARC z polityką quarantine (lub none, jeśli chcą Państwo zacząć od monitorowania) oraz raportami wysyłanymi na dmarc@dnspractice.eu (rua=mailto:dmarc@dnspractice.eu).

Dalsza lektura

Kroki opisane w tych artykułach dotyczą paneli WebOké; w innych panelach działa to w podobny sposób.

• Czym jest DMARC? Wyjaśnienie w prostych słowach
• Instrukcja DirectAdmin 5.9: DMARC instellen
• Tworzenie rekordu DMARC w DirectAdmin
• Podręcznik WebOké 5.5: Pomocnicy DNS: MX, SPF, DMARC, CAA i SRV
• Publiczne narzędzie do sprawdzania poczty (SPF, DMARC, MX): https://www.weboke.pl/sprawdz-e-mail, oraz test poczty internet.nl: https://internet.nl
• RFC 9989 (DMARC), RFC 9990 (raporty); historycznie RFC 7489