brak DMARC

Brak DMARC to usterka konfiguracji domenowej pozbawiająca właściciela domeny mechanizmu egzekwowania zasad weryfikacji nadawcy.

Brak DMARC – czym jest i co oznacza dla domeny

Brak DMARC oznacza, że dla domeny nie opublikowano rekordu DNS określającego sposób postępowania z wiadomościami, które wyglądają na wysłane w jej imieniu. Samo wysyłanie poczty może nadal działać, ponieważ DMARC nie jest usługą transportu wiadomości ani osobnym programem instalowanym na komputerze. Jest to mechanizm oparty na dodatkowej regule zapisanej w systemie DNS. Reguła ta pozwala serwerom odbierającym ocenić, czy nadawca został właściwie uwierzytelniony, a następnie zastosować ustalone działanie.

W praktyce brak DMARC pozbawia właściciela domeny możliwości wyrażenia jasnej polityki wobec wiadomości niespełniających wymagań uwierzytelniania. Serwer odbiorcy może wtedy samodzielnie zdecydować, czy wiadomość dostarczyć, oznaczyć jako podejrzaną, umieścić w folderze niechcianej poczty albo odrzucić. Nie ma jednej uniwersalnej reakcji, ponieważ znaczenie mają również rekordy SPF, podpisy DKIM, reputacja domeny, reputacja adresu IP oraz reguły stosowane przez konkretną platformę pocztową.

DMARC korzysta z dwóch wcześniejszych mechanizmów. SPF wskazuje, jakie serwery mogą wysyłać pocztę w imieniu domeny, natomiast DKIM dodaje do wiadomości podpis kryptograficzny. DMARC sprawdza nie tylko to, czy SPF lub DKIM zakończyły się powodzeniem, lecz także czy wynik jest zgodny z domeną widoczną w polu nadawcy. Ta zgodność, określana jako dopasowanie domen, ogranicza możliwość podszywania się pod adres używany przez odbiorcę do rozpoznania nadawcy.

Brak DMARC a SPF, DKIM i wiarygodność wiadomości

Brak DMARC nie zawsze oznacza, że SPF i DKIM są nieobecne. Możliwe jest posiadanie poprawnych rekordów SPF oraz podpisywanie wiadomości przez DKIM bez opublikowania polityki DMARC. W takim układzie część serwerów odbiorczych może prawidłowo rozpoznać autentyczne wiadomości, ale właściciel domeny nadal nie przekazuje jednolitej instrukcji dotyczącej wiadomości, które nie przejdą kontroli. Z punktu widzenia ochrony marki oraz kontroli nad pocztą jest to istotna luka konfiguracyjna.

SPF działa na podstawie adresu serwera wysyłającego i listy dozwolonych źródeł. Problem pojawia się wtedy, gdy poczta jest wysyłana nie tylko z głównego serwera, ale również przez formularz kontaktowy, system do newsletterów, platformę fakturową, narzędzie do obsługi zgłoszeń lub zewnętrzny system powiadomień. DKIM działa inaczej: podpis jest dołączany do wiadomości, a odbiorca pobiera klucz publiczny z DNS. Zmiana usługi wysyłkowej, błędna konfiguracja klucza albo modyfikacja wiadomości po podpisaniu może prowadzić do niepowodzenia kontroli.

DMARC porządkuje te mechanizmy, ponieważ wskazuje oczekiwaną politykę oraz umożliwia przekazywanie raportów zbiorczych. Raporty mogą pokazać, z jakich źródeł wysyłano wiadomości dla danej domeny, które źródła przeszły weryfikację i gdzie wystąpiły rozbieżności. Dzięki temu można odkryć nieznane systemy korzystające z domeny albo zauważyć próby jej wykorzystania przez osoby nieuprawnione. Raport nie jest jednak automatycznym dowodem oszustwa. Nieudana kontrola może wynikać także z przekazywania poczty, zmian nagłówków lub błędów po stronie pośredniego serwera.

Warto odróżnić brak DMARC od błędu samego rekordu. W pierwszym przypadku rekord zaczynający się od _dmarc nie istnieje albo nie jest widoczny w publicznym DNS. W drugim rekord istnieje, lecz zawiera nieprawidłową składnię, nieobsługiwaną wartość, literówkę w nazwie domeny raportującej lub politykę niedopasowaną do rzeczywistego sposobu wysyłania poczty. Oba przypadki wymagają osobnego sprawdzenia.

Brak DMARC – typowe problemy i objawy

Najczęstszym skutkiem braku DMARC jest mniejsza przewidywalność dostarczania wiadomości. Poczta wysłana z prawidłowo skonfigurowanego systemu może docierać do odbiorców, ale wiadomości o podobnym wyglądzie, pochodzące z nieautoryzowanego źródła, nie są objęte jasno określoną polityką domeny. Część dostawców może zwiększać ostrożność wobec całej domeny, zwłaszcza gdy pojawiają się nietypowe wzorce wysyłki, nagłe skoki liczby wiadomości albo negatywne sygnały od użytkowników.

Problem może być widoczny jako opóźnienia, trafianie wiadomości do spamu, brak wiadomości z formularzy, nieotrzymywanie automatycznych potwierdzeń lub niespójne zachowanie między różnymi skrzynkami odbiorczymi. Nie należy jednak przypisywać każdej takiej sytuacji wyłącznie brakowi DMARC. Przyczyną może być również przepełniona skrzynka, filtr antyspamowy, blokada adresu IP, błędny rekord MX, limit wysyłki, niepoprawny SPF, nieaktualny klucz DKIM albo awaria usługi pocztowej.

Brak DMARC zwiększa także ryzyko podszywania się pod domenę w wiadomościach kierowanych do klientów, pracowników lub kontrahentów. Osoba wysyłająca fałszywą wiadomość może wykorzystać znajomą nazwę domeny w polu nadawcy, mimo że wiadomość nie pochodzi z autoryzowanej infrastruktury. Sam wygląd adresu nie wystarcza do potwierdzenia autentyczności. Ocena powinna uwzględniać nagłówki wiadomości, wyniki SPF i DKIM, zgodność domen oraz sposób, w jaki odbiorca zinterpretował politykę DMARC.

Trudność sprawia również migracja poczty. Po zmianie dostawcy może zostać usunięty dotychczasowy podpis DKIM albo pominięty nowy serwer w rekordzie SPF. Jeżeli wcześniej nie analizowano źródeł wysyłki, nie zawsze wiadomo, które systemy powinny zostać dopuszczone. Dlatego korekta konfiguracji bez rozpoznania całego obiegu wiadomości może doprowadzić do odrzucania legalnej korespondencji.

Brak DMARC – praktyczne wskazówki diagnostyczne

Sprawdzanie należy rozpocząć od ustalenia właściwej domeny używanej w adresie nadawcy, ponieważ domena techniczna serwera wysyłającego nie zawsze jest taka sama jak domena widoczna dla odbiorcy. Następnie trzeba zweryfikować, czy w publicznym DNS istnieje rekord TXT pod nazwą _dmarc.nazwa-domeny. Należy sprawdzić również, czy rekord jest dostępny z kilku niezależnych resolverów oraz czy nie występują stare wpisy, sprzeczne rekordy lub błędy w składni.

Kolejny etap obejmuje spisanie wszystkich legalnych źródeł poczty. W zestawieniu warto uwzględnić główną usługę pocztową, formularze na stronie, systemy transakcyjne, automatyczne powiadomienia, narzędzia marketingowe, programy do obsługi klientów oraz urządzenia wysyłające skany lub alerty. Dla każdego źródła powinno się ustalić, czy korzysta z SPF, DKIM, czy domena użyta w podpisie jest zgodna z domeną nadawcy oraz czy konfigurację można zmienić po stronie administratora.

Wprowadzanie polityki warto prowadzić etapowo. Najpierw analizuje się raporty i obserwuje, czy wszystkie oczekiwane źródła wysyłki są rozpoznane. Później można stopniowo zaostrzać sposób traktowania wiadomości niespełniających wymagań. Przed każdą zmianą należy zachować kopię dotychczasowych rekordów DNS, opisać właścicieli poszczególnych usług oraz zaplanować kontrolę po publikacji. Pozwala to szybciej odróżnić błąd DNS od problemu z konkretną platformą wysyłkową.

Nie powinno się kopiować gotowego rekordu znalezionego dla innej domeny. Każda domena ma własny zestaw usług, inną strukturę poddomen i własne wymagania dotyczące raportów. Szczególnej uwagi wymagają rekordy SPF, ponieważ nie powinny zawierać przypadkowych, nieaktualnych źródeł. W przypadku DKIM trzeba sprawdzić wybierak podpisu, klucz publiczny oraz ciągłość podpisywania po zmianie dostawcy poczty.

Brak DMARC – kiedy zgłosić się do serwisu

Do serwisu warto zgłosić się wtedy, gdy nie jest jasne, czy problem dotyczy DNS, konfiguracji skrzynki, serwera wysyłkowego czy zewnętrznej usługi korzystającej z domeny. Szczególnie uzasadniona jest konsultacja, gdy wiadomości z formularza nie docierają, korespondencja firmowa trafia do spamu, po zmianie dostawcy poczty przestają działać podpisy albo pojawiają się sygnały o podszywaniu się pod domenę. W takich przypadkach analizuje się rekordy DNS, nagłówki przykładowych wiadomości oraz zależności między SPF, DKIM i DMARC.

Warszawskie Pogotowie Komputerowe 24/7 może pomóc uporządkować diagnozę problemu związanego z konfiguracją domeny i poczty, tak aby przed wprowadzeniem zmian ustalić rzeczywiste źródła wysyłki oraz możliwe skutki modyfikacji. Przygotowanie do zgłoszenia ułatwi przekazanie nazwy domeny, przykładowych nagłówków wiadomości, informacji o dostawcy poczty i opisu momentu, od którego występuje problem. Nie należy przesyłać haseł ani kluczy prywatnych DKIM.

Jeżeli poczta działa niestabilnie, a w DNS nie widać rekordu DMARC, warto potraktować to jako zadanie administracyjne wymagające uporządkowania, a nie jako pojedynczy przełącznik do włączenia. Poprawa może wymagać zinwentaryzowania usług, uzupełnienia SPF, uruchomienia DKIM, obserwacji raportów i dopiero późniejszego zaostrzenia polityki. Takie podejście ogranicza ryzyko zablokowania prawidłowych wiadomości oraz ułatwia wykrywanie nieautoryzowanych źródeł wysyłki.