DMARC record

DMARC record to wpis DNS zawierający zdefiniowaną politykę DMARC dla danej domeny.

Budowa wpisu w strefie domeny

Rekord umieszcza się jako wpis typu TXT pod nazwą _dmarc poprzedzającą nazwę domeny. Jego wartość musi zaczynać się od oznaczenia wersji, a zaraz po nim stoi polityka: brak działania, kwarantanna albo odrzucenie. Dalej dopisuje się adres do zbiorczych raportów, opcjonalnie adres na raporty szczegółowe, odsetek wiadomości objętych polityką, osobną politykę dla subdomen oraz tryb dopasowania — ścisły lub swobodny — niezależnie dla podpisu DKIM i dla weryfikacji SPF. Kolejność dwóch pierwszych oznaczeń nie jest dowolna; wpis zaczynający się inaczej jest przez serwery odbiorcze pomijany.

Dlaczego bez SPF i DKIM ten wpis niczego nie sprawdza

Sam mechanizm nie bada wiadomości, tylko ocenia wyniki dwóch innych. Wymaga, żeby co najmniej jeden z nich wypadł pomyślnie i dodatkowo żeby domena, której dotyczył, zgadzała się z domeną widoczną dla odbiorcy w nagłówku From. To pojęcie zgodności jest sednem całej konstrukcji i najczęstszym źródłem nieporozumień. Wysyłka przez zewnętrzny system mailingowy potrafi bez zarzutu przejść weryfikację SPF, bo adres zwrotny należy do dostawcy, a mimo to zostać odrzucona — adres zwrotny i adres nadawcy pochodzą z dwóch różnych domen. Ratunkiem jest podpis DKIM kluczem opublikowanym we własnej strefie DNS.

Wdrożenia, które kończą się zniknięciem firmowej poczty

Najkosztowniejszy błąd to ustawienie polityki odrzucania od pierwszego dnia, bez wcześniejszego okresu obserwacji na raportach zbiorczych. Wtedy nagle przestają docierać faktury wysyłane przez program handlowy z własnego serwera, powiadomienia ze sklepu internetowego i skany z drukarki wielofunkcyjnej wysyłającej dokumenty na adres w domenie firmy. Drugi błąd to dwa wpisy tego typu w jednej strefie — serwery odbiorcze traktują to jako sytuację nierozstrzygalną i pomijają oba. Trzeci wynika z ograniczenia po stronie SPF: przy więcej niż dziesięciu odwołaniach wymagających dodatkowych zapytań DNS weryfikacja kończy się błędem trwałym, przez co warunek zgodności nigdy nie zostanie spełniony. Warto też pamiętać o osobnym ustawieniu dla subdomen, bo bez niego dziedziczą politykę domeny nadrzędnej.

Porządkowanie uwierzytelniania poczty u naszych klientów

Wdrażamy te wpisy etapami: najpierw tryb obserwacyjny i analiza raportów, potem uzupełnienie brakujących źródeł wysyłki, a dopiero na końcu zaostrzenie polityki. Sprawdzamy przy tym ustawienia SMTP w programach handlowych opartych o SQL Server i w urządzeniach biurowych, bo to one najczęściej wypadają z zestawienia. Pracujemy przez całą dobę, również dla firm obsługujących zamówienia w weekendy.