DMARC diegimas: nuo none iki reject

4 modulis: Pristatomumas: SPF, DKIM ir DMARC praktikoje · Skaitymo trukmė: 12 min.

Mokymosi tikslas: Po šios pamokos galėsite paaiškinti, kaip veikia suderinimas (alignment), suplanuoti DMARC diegimą etapais nuo p=none iki p=reject, pasirinkti tinkamus žymeklius (rua, sp, np, t) ir atpažinti žinomas spąstų vietas, susijusias su peradresavimu ir el. pašto sąrašais (mailing lists).

Pagrindinės sąvokos: DMARC (RFC 9989), Author Domain (domenas laukelyje Iš), suderinimas (alignment), relaxed ir strict (adkim, aspf), organizacijos domenas, DNS tree walk, p=none, p=quarantine, p=reject, rua, sp, np, t=y (testavimo režimas), nebenaudojami žymekliai pct, rf, ri, el. pašto sąrašai (mailing lists), From perrašymas, ARC

Ką tiksliai tikrina DMARC

DMARC kiekvienam gaunamam laiškui atsako į vieną klausimą: ar SPF arba DKIM praėjo sėkmingai domenui, kuris susietas su adresu laukelyje Iš? Domenas laukelyje Iš standarte vadinamas Author Domain. Įrašo pagrindai pateikti DNS kurso 4.5 pamokoje. 2026 m. gegužę pasirodė atnaujintas standartas: RFC 9989, kartu su RFC 9990 suvestinėms ataskaitoms (aggregate reports) ir RFC 9991 klaidų ataskaitoms. Esami įrašai su v=DMARC1 ir toliau lieka galiojantys.

Suderinimas praktikoje

„Susietas su" vadinamas suderinimu (alignment). Yra dvi atmainos:

• relaxed (numatytasis): domenai turi tą patį organizacijos domeną. nieuws.example.com ir example.com yra suderinti; example.com ir example.net ne.
• strict (adkim=s arba aspf=s): domenai turi sutapti visiškai.

SPF atveju DMARC palygina Return-Path domeną su domenu laukelyje Iš. DKIM atveju, galiojančio parašo d= domeną. Keletas pavyzdžių laiškui su Iš: info@example.com:

Taigi palikite adkim ir aspf nustatytus kaip relaxed, nebent turite tam rimtą priežastį.

Kaip gavėjas sužino, koks yra organizacijos domenas? Anksčiau tam buvo naudojamas Public Suffix List, sąrašas, kuriame yra tokie domenai kaip .nl, .co.uk ir github.io. RFC 9989 tai pakeičia DNS tree walk metodu: gavėjas ieško _dmarc įrašų domenui ir aukštesniems domenams. Paprastam vartotojui niekas nepasikeičia; tai pastebėsite tik dirbdami su subdomenų įrašais.

Diegimas keturiais etapais

Tikslas yra p=reject: tuomet gavėjai atsisakys priimti laiškus, kurie apsimeta esą nuo Jūsų, ir tai yra geriausia apsauga nuo netikrų sąskaitų ir sukčiavimo (phishing) Jūsų vardu. Tačiau tas, kas iškart pereina prie reject nepažindamas savo siuntėjų, netrukus atmes ir savo pačių sąskaitas. Todėl rekomenduojama tokia tvarka (šio kurso rekomendacija):

0 etapas: pasiruošimas

• Sudarykite visų savo siuntėjų inventorių (4.2 pamoka).
• Įsitikinkite, kad kiekvienas siuntėjas turi suderintą SPF arba DKIM; geriausia DKIM, nes jis išlieka po peradresavimo.
• Sukurkite atskirą adresą ataskaitoms, pavyzdžiui, dmarc@example.com, arba naudokitės ataskaitų paslauga. Greitai gausite po kelias ataskaitas per dieną.

1 etapas: matavimas su p=none

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

p=none pačiam laiškui nieko nedaro. Gavėjai pristato viską kaip įprasta, tačiau kasdien siunčia Jums suvestinę ataskaitą (aggregate report) apie kiekvieną serverį, kuris siuntė laiškus Jūsų domeno vardu, ir ar SPF, DKIM bei DMARC buvo sėkmingi. Tai taip pat atitinka minimalų Gmail, Yahoo ir Microsoft reikalavimą masiniams siuntėjams (5.3 pamoka).

Palikite tai bent dvi iki keturias savaites, o ilgiau, jei turite paslaugų, kurios siunčia laiškus tik retkarčiais (metinis priminimas, ketvirtinė sąskaita). Skaitykite ataskaitas (4.5 pamoka) ir sutvarkykite kiekvieną savo šaltinį, kuris nepavyksta.

2 etapas: p=quarantine

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

Laiškai, kurie neatitinka DMARC, gavėjo pusėje pateks į šlamšto aplanką. Jei vis dėlto pamiršote koks nors šaltinis, tas laiškas nedings, tačiau jį bus sunku rasti. Jei norite būti atsargūs, pirmiausia pridėkite t=y (testavimo režimas): tuomet gavėjai taikys vienu žingsniu švelnesnę taisyklę (quarantine atveju tai būtų none), tačiau ataskaitose matysite, kas būtų nutikę. Tai RFC 9989 pakeičia senąjį žymeklį pct=.

Vėl keletą savaičių stebėkite ataskaitas.

3 etapas: p=reject

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@example.com"

Laiškai, kurie neatitinka DMARC, bus atmesti. Siuntėjas gauna klaidos pranešimą (bounce), pavyzdžiui, Microsoft atveju su kodu 5.7.509, o Gmail atveju su nuoroda į DMARC taisykles (6 modulis). Toliau stebėkite ataskaitas: naujų paslaugų visada atsiranda.

Kada galima pereiti greičiau?

Jei visas Jūsų paštas siunčiamas per vieną teikėją, kuris pasirūpina SPF ir DKIM už Jus, ir niekas kitas nesiunčia laiškų Jūsų domeno vardu? Tuomet griežtą taisyklę galima nustatyti iš karto. Kai kurios talpinimo (hosting) įmonės dėl to pagal nutylėjimą nustato p=reject. Jei vėliau vis dėlto pradėsite naudoti naujienlaiškio paslaugą ar apskaitos programą, laikinai nustatykite atgal p=none su ataskaitų adresu, kol ta paslauga bus tinkamai sutvarkyta.

Kiti žymekliai

Ataskaitų adresas kitame domene (pavyzdžiui, ataskaitų paslaugoje) veikia tik tuomet, jei tas domenas suteikia leidimą tokiu įrašu kaip example.com._report._dmarc.rapportdienst.example. Paslauga tai dažniausiai sutvarko pati (RFC 9990, 4 skyrius).

Spąstų vietos

El. pašto sąrašai (mailing lists)

Klasikinis el. pašto sąrašas persiunčia Jūsų laišką visiems nariams nuo savo paties serverio ir dažnai prideda [sąrašas] prie temos arba poraštę. Tuomet SPF nepavyksta (kitas serveris) ir DKIM taip pat nepavyksta (laiškas pakeistas). Esant p=reject, gavėjai atmes Jūsų pranešimą, nusiųstą į sąrašą. Šiuolaikinė sąrašų programinė įranga tai sprendžia perrašydama adresą laukelyje Iš į sąrašo adresą („Jonas per Narius"), arba persiųsdama laišką nepakeistą. Jei naudojate sąrašą, kuris to nedaro, tai pamatysite savo ataskaitose.

Peradresavimas

Žr. 3.3 pamoką: SPF nutrūksta, DKIM dažniausiai išlieka. Gavėjas, naudodamas ARC, gali nuspręsti pasitikėti žinomu persiuntėju. Ataskaitose tai atpažinsite kaip laišką iš nežinomo serverio su DKIM pass ir SPF fail; tai nėra priežastis švelninti savo taisykles.

Du įrašai arba rašybos klaida

Du DMARC įrašai _dmarc padaro taisyklę negaliojančią, taip pat ir rašybos klaida p= laukelyje (p=rejected neegzistuoja). Patikrinkite po kiekvieno pakeitimo.

Praktikoje: kaip tai atrodo valdymo skydelyje

WebOké talpinimo pakete pagal nutylėjimą nustatyta v=DMARC1;p=reject, be ataskaitų adreso. Tai yra saugu, jei visas Jūsų paštas eina per tuos serverius. Jei siunčiate laiškus ir per kitas paslaugas, nustatykite p=none su rua adresu ir atlikite etapus iš eilės. DirectAdmin tai atliekate DNS administravimo skyriuje, paspausdami pieštuko piktogramą prie _dmarc įrašo (laukai Domeno politikos tipas ir Agreguoti el. paštą (RUA)); Mano WebOké, naudodamiesi DMARC pagalbininku DNS skirtuke. Kitų teikėjų atveju sukuriate TXT įrašą pavadinimu _dmarc ir patys įvedate tekstą; rezultatas yra tas pats.

Santrauka

• DMARC yra sėkmingas, jei SPF arba DKIM sėkmingi domenui, kuris suderintas su domenu laukelyje Iš; relaxed suderinimas priima subdomenus.
• Diegimas: inventorius, p=none su rua ir ataskaitų skaitymas, p=quarantine (galbūt su t=y), o tada p=reject.
• Naudokite np=reject neegzistuojantiems subdomenams, kai pagrindinė taisyklė jau griežta. pct, rf ir ri nebenaudojami.
• El. pašto sąrašai ir peradresavimas sukelia numatytas klaidas; DKIM ir ARC dalį jų sugauna.
• Lygiai vienas įrašas _dmarc, be rašybos klaidų.

Testas

Užduotis

Užduotis Z4.4: Jūsų domeno DMARC patikrinimas ir kito žingsnio pasirinkimas. Įveskite savo domeną (arba internet.nl). Nurodykite DMARC įrašą tokį, kokį radote, p= reikšmę ir ar jame yra rua adresas. Tada pasirinkite, kurį diegimo etapą, Jūsų manymu, reikėtų atlikti kitą, ir kodėl. Programa gyvai užklausia įrašą, patikrina sintaksę pagal RFC 9989 (vienas įrašas, galiojantis p, žinomi žymekliai, nebenaudojami žymekliai kaip įspėjimas) ir pateikia Jūsų atsakymus šalia.

Skaitykite daugiau

Šiuose straipsniuose nurodyti žingsniai galioja WebOké valdymo skydeliams; kitų teikėjų atveju veikimo principas panašus.

• Nemokamas DNS kursas 4.5: DMARC: ką gavėjai turi daryti su netikru paštu
• DirectAdmin vadovas 5.9: DMARC nustatymas
• Kas yra DMARC? Paaiškinimas paprasta kalba
• DMARC įrašo sukūrimas sistemoje DirectAdmin
• RFC 9989 (DMARC), ypač 4.7 skyrius (žymekliai) ir priedas C (pakeitimai nuo RFC 7489)