Uvajanje DMARC: od none do reject

Modul 4: Dostavljivost: SPF, DKIM in DMARC v praksi · Čas branja: 12 minut

Učni cilj: Po tej lekciji boste znali razložiti, kako deluje uskladitev (alignment), načrtovati uvajanje DMARC po fazah od p=none do p=reject, izbrati prave oznake (rua, sp, np, t) ter prepoznati znane pasti pri preusmeritvi in poštnih seznamih.

Ključni pojmi: DMARC (RFC 9989), domena avtorja (Author Domain, domena v polju Od), uskladitev (alignment), relaxed in strict (adkim, aspf), organizacijska domena, DNS tree walk, p=none, p=quarantine, p=reject, rua, sp, np, t=y (testni način), zastarele oznake pct, rf, ri, poštni seznami, prepisovanje polja Od, ARC

Kaj DMARC pravzaprav preverja

DMARC za vsako prispelo sporočilo odgovarja na eno vprašanje: ali je SPF ali DKIM uspešen za domeno, ki pripada naslovu Od? Domena v naslovu Od se v standardu imenuje domena avtorja (Author Domain). Osnove zapisa so opisane v tečaju DNS, lekcija 4.5. Maja 2026 je izšel prenovljeni standard: RFC 9989, z RFC 9990 za zbirna poročila in RFC 9991 za poročila o napakah. Obstoječi zapisi z v=DMARC1 ostanejo veljavni.

Uskladitev v praksi

"Pripada" se imenuje uskladitev (alignment). Obstajata dva načina:

• relaxed (privzeto): domeni imata isto organizacijsko domeno. nieuws.example.com in example.com sta usklajeni; example.com in example.net nista.
• strict (adkim=s ali aspf=s): domeni morata biti popolnoma enaki.

Za SPF DMARC primerja domeno iz Return-Path z domeno Od. Za DKIM primerja domeno d= iz veljavnega podpisa. Nekaj primerov za sporočilo z Od: info@example.com:

Zato naj adkim in aspf ostaneta na relaxed, razen če imate dober razlog za drugače.

Kako prejemnik ve, kaj je organizacijska domena? Prej s seznamom Public Suffix List, seznamom domen, kot so .nl, .co.uk in github.io. RFC 9989 to nadomesti z DNS tree walk: prejemnik poišče zapise _dmarc domene in nadrejenih domen. Za navadnega uporabnika se ne spremeni nič; opazite le, če delate z zapisi na poddomenah.

Uvajanje v štirih fazah

Cilj je p=reject: tedaj prejemniki zavrnejo pošto, ki se izdaja za Vas, kar je najboljša zaščita pred lažnimi računi in izsiljevalsko pošto (phishing) v Vašem imenu. Toda kdor takoj preklopi na reject, ne da bi poznal vse svoje pošiljatelje, bo kmalu zavrnil tudi lastne račune. Zato priporočamo naslednje zaporedje:

Faza 0: priprava

• Pripravite popis vseh svojih pošiljateljev (lekcija 4.2).
• Poskrbite, da ima vsak pošiljatelj usklajen SPF ali DKIM; po možnosti DKIM, ker ta preživi preusmeritev.
• Ustvarite ločen naslov za poročila, na primer dmarc@example.com, ali uporabite storitev za poročila. Že kmalu boste prejemali nekaj poročil na dan.

Faza 1: merjenje s p=none

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

p=none ne naredi ničesar s samo pošto. Prejemniki vso pošto dostavijo kot običajno, vendar Vam dnevno pošljejo zbirno poročilo (aggregate report) z vsemi strežniki, ki so pošiljali v imenu Vaše domene, in podatkom, ali so SPF, DKIM in DMARC uspeli. S tem izpolnite tudi minimalno zahtevo Gmaila, Yahooja in Microsofta za množične pošiljatelje (lekcija 5.3).

To naj traja vsaj dva do štiri tedne, dlje, če imate storitve, ki pošiljajo le občasno (letni opomnik, četrtletni račun). Preberite poročila (lekcija 4.5) in popravite vsak lasten vir, ki ne uspe.

Faza 2: p=quarantine

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

Pošta, ki ne prestane DMARC, pri prejemniku pristane v mapi za neželeno pošto. Če kak vir pozabite, sporočilo ni izgubljeno, je pa ga težko najti. Če želite biti previdni, najprej dodajte t=y (testni način): prejemniki tedaj uporabijo za stopnjo milejši pravilnik (pri quarantine torej none), vendar v poročilih vidite, kaj bi se zgodilo. To je v RFC 9989 nadomestilo za staro oznako pct=.

Poročila spremljajte še nekaj tednov.

Faza 3: p=reject

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@example.com"

Pošta, ki ne prestane DMARC, je zavrnjena. Pošiljatelj prejme sporočilo o napaki (bounce), pri Microsoftu na primer s kodo 5.7.509, pri Gmailu s sklicem na pravilnik DMARC (modul 6). Poročila spremljajte naprej: novi viri se vedno pojavljajo.

Kdaj gre lahko hitreje?

Če vsa Vaša pošta gre prek enega ponudnika, ki zanjo ureja SPF in DKIM, in nič drugega ne pošilja v imenu Vaše domene, lahko strog pravilnik uvedete takoj. Nekatera gostovalna podjetja zato privzeto nastavijo p=reject. Če pozneje vendarle začnete uporabljati storitev za novice ali računovodski program, pravilnik najprej začasno nastavite nazaj na p=none z naslovom za poročila, dokler ta storitev ni pravilno nastavljena.

Druge oznake

Naslov za poročila na drugi domeni (na primer storitvi za poročila) deluje le, če ta domena to dovoli z zapisom, kot je example.com._report._dmarc.rapportdienst.example. Storitev to običajno uredi sama (RFC 9990, poglavje 4).

Pasti

Poštni seznami

Klasičen poštni seznam Vašo pošto preusmeri vsem članom, s svojega lastnega strežnika, in pogosto doda [seznam] v zadevo ali v nogo sporočila. Tedaj SPF ne uspe (drug strežnik) in DKIM ne uspe (pošta je spremenjena). Pri p=reject prejemniki zavrnejo Vaše sporočilo seznamu. Sodobna programska oprema za sezname to reši s prepisom naslova Od v naslov seznama ("Jan via Leden"), ali pa pošto posreduje nespremenjeno. Če uporabljate seznam, ki tega ne počne, to opazite v svojih poročilih.

Preusmeritev

Glejte lekcijo 3.3: SPF se pokvari, DKIM večinoma preživi. Prejemnik se lahko z ARC odloči zaupati znanemu posredniku preusmeritve. V poročilih to prepoznate kot pošto z neznanega strežnika z DKIM pass in SPF fail; to ni razlog, da bi omilili svoj pravilnik.

Dva zapisa ali tipkarska napaka

Dva zapisa DMARC na _dmarc naredita pravilnik neveljaven, enako tipkarska napaka v p= (p=rejected ne obstaja). Po vsaki spremembi preverite.

V praksi: tako izgleda v nadzorni plošči

Pri gostovalnem paketu WebOké je privzeto nastavljeno v=DMARC1;p=reject, brez naslova za poročila. To je varno, če vsa Vaša pošta poteka prek teh strežnikov. Če pošiljate tudi prek drugih storitev, nastavite p=none z naslovom rua in izvedite faze po vrsti. V DirectAdmin to naredite v razdelku Upravljanje DNS, s svinčnikom ob zapisu _dmarc (polji Vrsta politike domene in Zbirna e-pošta (RUA)); v Moj WebOké z DMARC pomočnikom na zavihku DNS. Pri drugih ponudnikih ustvarite zapis TXT na imenu _dmarc in besedilo vnesete sami; rezultat je enak.

Povzetek

• DMARC uspe, če SPF ali DKIM uspe za domeno, usklajeno z domeno Od; relaxed uskladitev sprejema poddomene.
• Uvajanje: popis, p=none z rua in branje poročil, p=quarantine (po možnosti z t=y), nato p=reject.
• Uporabite np=reject za neobstoječe poddomene, ko je glavni pravilnik strog. pct, rf in ri so zastarele.
• Poštni seznami in preusmeritev povzročijo pričakovane napake; DKIM in ARC del tega ublažita.
• Natanko en zapis na _dmarc, brez tipkarskih napak.

Kviz

Naloga

Naloga Z4.4: Preverjanje DMARC za Vašo domeno in izbira naslednjega koraka. Vnesite svojo domeno (ali internet.nl). Vnesite zapis DMARC, kot ste ga našli, vrednost p= in ali vsebuje naslov rua. Nato izberite, katera faza uvajanja je po Vašem mnenju naslednji korak, in zakaj. Program zapis preveri v živo, preveri skladnjo po RFC 9989 (en zapis, veljaven p, znane oznake, zastarele oznake kot opozorilo) in Vaše odgovore postavi ob rezultat.

Za nadaljnje branje

Koraki v teh člankih veljajo za nadzorne plošče WebOké; pri drugih ponudnikih deluje podobno.

• Brezplačen tečaj DNS 4.5: DMARC: kaj morajo prejemniki narediti z lažno pošto
• Priročnik DirectAdmin 5.9: DMARC nastavitev
• Kaj je DMARC? Razlaga v preprostem jeziku
• DMARC-zapis ustvarite v DirectAdmin
• RFC 9989 (DMARC), zlasti 4.7 (oznake) in dodatek C (spremembe od RFC 7489)