DMARC: ką gavėjai turi daryti su netikru paštu

4 modulis: Įrašai el. paštui · Skaitymo trukmė: 10 min.

Mokymosi tikslas: Po šios pamokos galėsite paaiškinti, kaip DMARC sujungia SPF ir DKIM, sudaryti galiojantį DMARC įrašą ir žingsnis po žingsnio griežtinti politiką.

Pagrindinės sąvokos: DMARC, _dmarc, v=DMARC1, politika p=none / quarantine / reject, suderinimas (alignment), rua ataskaitos, sp= ir np=, testavimo režimas t=, vienas DMARC įrašas

Trūkstama dalis

SPF (4.3 pamoka) patikrina, iš kokio serverio laiškas atsiuntė, bet žiūri į techninį voko (envelope) adresą. DKIM (4.4 pamoka) patikrina parašą, bet jis gali būti bet kurio domeno. Taigi sukčius gali išsiųsti laišką su „Nuo: info@example.com“, kuris sklandžiai praeina SPF patikrą savo paties domenui ir yra tvarkingai pasirašytas savo paties domeno.

DMARC (Domain-based Message Authentication, Reporting and Conformance) užbaigia šį ratą. Jis užduoda vieną klausimą: ar sėkmingas SPF arba DKIM patikrinimas priklauso tam pačiam domenui, kurį gavėjas mato laukelyje „Nuo:“? Tai vadinama suderinimu (alignment). Ir Jūs nurodote gavėjams, ką daryti, jei atsakymas yra ne.

DMARC buvo aprašytas 2015 metais RFC 7489 dokumente. 2026 metų gegužę paskelbta peržiūrėta versija kaip oficialus interneto standartas: RFC 9989 (kartu su RFC 9990 ir 9991 ataskaitoms). Esami įrašai su v=DMARC1 išlieka galiojantys.

Kaip sprendžia gavėjas

Gavus laišką su siuntėju info@example.com, gavėjas daro taip:

1. SPF: ar laiškas atsiųstas iš leidžiamo serverio ir ar voko domenas priklauso example.com?
2. DKIM: ar yra galiojantis parašas, ir ar pasirašantis domenas (d=) priklauso example.com?
3. DMARC: ar bent vienas iš šių dviejų sėkmingas ir suderintas? Jei taip, laiškas tvarkingas. Jei ne, gavėjas vadovaujasi Jūsų politika.

Pakanka vieno iš dviejų. Todėl DKIM taip svarbus paslaugoms, kurios siunčia su savo voko adresu, pavyzdžiui, daugeliui naujienlaiškių paslaugų: tada SPF sėkmingas, bet ne Jūsų domenui. Tik DKIM parašas su d=example.com tokiu atveju viską sutvarko.

„Priklauso“ pagal numatytuosius nustatymus reiškia: tas pats organizacijos domenas. nieuws.example.com priklauso example.com. Tai vadinama atpalaiduotu (relaxed) suderinimu. Su adkim=s arba aspf=s (griežtas, strict) domenas turi būti lygiai toks pat. Beveik visiems tinka atpalaiduotas variantas.

Kaip atrodo DMARC įrašas?

DMARC įrašas yra TXT įrašas, nurodytas Jūsų domeno vardu _dmarc:

_dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

Jis sudarytas iš dalių (žymų), tarp kurių rašomas kabliataškis.

Politikos pasirinkimas

Protinga eiga:

1. Pirmiausia sutvarkykite SPF ir DKIM visoms paslaugoms, kurios siunčia laiškus Jūsų vardu: pašto paslaugos teikėjui, svetainei, naujienlaiškio paslaugai, apskaitos programai, internetinei parduotuvei.
2. Pradėkite nuo p=none ir rua adreso. Kelias savaites stebėkite ataskaitose, kurios paslaugos siunčia laiškus Jūsų domeno vardu ir ar jos praeina patikrinimą.
3. Pereikite prie p=quarantine, o jei viskas gerai, galiausiai prie p=reject.

Jei abejojate, ar visos Jūsų paslaugos sutvarkytos tinkamai, nepereikite iš karto prie reject. Pamiršta paslauga (pavyzdžiui, programa, kuri siunčia sąskaitas) tuomet nebepasieks gavėjų.

Kai kurie prieglobos paslaugų teikėjai naujame pakete iš karto nustato griežtą DMARC įrašą (p=reject). Tai saugu, kol visas Jūsų paštas keliauja per jų serverius. Jei siunčiate laiškus ir per kitas paslaugas, pirmiausia patikrinkite tų paslaugų SPF ir DKIM.

Ataskaitos

Su rua=mailto:dmarc@example.com iš didelių gavėjų kasdien gausite suvestinę (XML failą) apie tai, kas siuntė laiškus Jūsų domeno vardu ir ar tai pavyko. Naudinga, bet techniška. Naudokite tam atskirą adresą; greitai gausite po kelias ataskaitas per dieną. Yra paslaugų, kurios ataskaitas padaro įskaitomas.

Jei ataskaitas siunčiate adresu kitame domene (pavyzdžiui, ataskaitų paslaugoje), tas kitas domenas savo DNS turi duoti leidimą. Paslauga tai paprastai sutvarko pati.

Dažnos klaidos

• Du DMARC įrašai. Ties _dmarc gali būti tik vienas. Esant dviem, gavėjas elgiasi taip, lyg DMARC visai nebūtų. Pakoreguokite esamą įrašą.
• Neteisingas vardas. Įrašas turi būti ties _dmarc.example.com, o ne pačiame example.com.
• Rašybos klaidos žymose. p=reject veikia, o p=rejected ar policy=reject ne. Be galiojančios p= reikšmės, įrašas laikomas p=none.
• DMARC įjungimas prieš sutvarkant SPF ir DKIM. Tuomet atmesite savo paties laiškus.
• Per greitas tikrinimas po pakeitimo. DMARC įrašas kartais turi ilgą TTL (pavyzdžiui, keturias valandas). Po pakeitimo seną įrašą dar kurį laiką matysite.

Kodėl tai svarbu

Nuo 2024 metų vasario Gmail ir Yahoo reikalauja iš didelių kiekių laiškų siuntėjų (daugiau nei maždaug 5 000 per dieną) DMARC įrašo, bent jau su p=none, ir kad SPF arba DKIM sėkmingai praeitų suderintas. Microsoft reikalauja to paties nuo 2025 metų gegužės Outlook.com ir Hotmail paslaugoms. Ir mažiems siuntėjams DMARC pagerina pristatymą bei apsaugo Jūsų klientus nuo netikrų sąskaitų, siunčiamų Jūsų vardu.

Praktikoje: taip tai atrodo valdymo skydelyje

Šiame pavyzdyje naudojame DirectAdmin. Skiltyje DNS administravimas spustelėkite pieštuko ženklą prie TXT įrašo _dmarc, arba sukurkite naują TXT įrašą vardu _dmarc ir ties TXT tipo įrašas pasirinkite DMARC. Ties Domeno politikos tipas pasirinkite Nėra, Karantinas arba Atmesti; ties Agreguoti el. paštą (RUA) prireikus įveskite ataskaitų adresą. Mano WebOké turi panašią DMARC pagalbos priemonę skirtuke DNS.

Jei Jūsų valdymo skydelyje tokios pagalbos nėra, sukurkite paprastą TXT įrašą ties _dmarc ir tekstą įveskite patys. Rezultatas bus toks pat.

Santrauka

• DMARC patikrina, ar SPF arba DKIM sėkmingas domenui laukelyje „Nuo:“ (suderinimas).
• Įrašas yra ties _dmarc.<domenas>, prasideda v=DMARC1 ir turi politiką p=none, quarantine arba reject.
• Pirmiausia SPF ir DKIM visoms paslaugoms, tada p=none su ataskaitomis, tada griežtinimas.
• Lygiai vienas DMARC įrašas vienam domenui.

Testas

Užduotis

Užduotis Z4.5: DMARC paieška. Suraskite domeno sidn.nl (SIDN, .nl registro valdytojo Nyderlanduose, svetainės) DMARC įrašą (arba savo paties domeno). Įklijuokite visą įrašą ir nurodykite, kokia politika (p=) jame nustatyta.

Užduotis O4.5: Savarankiškas nustatymas pratybų zonoje. Pratybų zonoje ataskaitas siunčiate nustatytu pratybų adresu; savo tikrame domene naudokite savo paties adresą. Savo pratybų zonoje <code>.dnspractice.eu sukurkite DMARC įrašą su politika quarantine (arba none, jei norite pradėti nuo stebėjimo) ir ataskaitas siųskite adresu dmarc@dnspractice.eu (rua=mailto:dmarc@dnspractice.eu).

Platesniam skaitymui

Šiuose straipsniuose aprašyti žingsniai galioja WebOké valdymo skydeliams; kituose skydeliuose veikia panašiai.

• Kas yra DMARC? Paaiškinimas paprasta kalba
• DirectAdmin vadovas 5.9: DMARC nustatymas
• DMARC įrašo sukūrimas sistemoje DirectAdmin
• WebOké vadovas 5.5: DNS pagalbininkai: MX, SPF, DMARC, CAA ir SRV
• Vieša el. pašto patikra (SPF, DMARC, MX): https://www.weboke.lt/el-pasto-patikra, ir internet.nl pašto testas: https://internet.nl
• RFC 9989 (DMARC), RFC 9990 (ataskaitos); istorinis RFC 7489