Rekord DMARC to wpis DNS określający politykę postępowania z wiadomościami niezgodnymi z SPF lub DKIM.
Gdzie znajduje się rekord DMARC i jaką ma postać
Rekord DMARC jest publikowany w systemie DNS jako rekord typu TXT pod nazwą _dmarc dołączoną do domeny, której dotyczy polityka. Dla domeny przyklad.pl pełna nazwa rekordu to _dmarc.przyklad.pl. Serwer odbierający wiadomość może odczytać ten wpis podczas sprawdzania, czy nadawca używa domeny zgodnie z regułami uwierzytelniania poczty. DMARC nie szyfruje wiadomości i nie zastępuje SPF ani DKIM. Jest warstwą polityki oraz raportowania, która wykorzystuje wyniki obu tych mechanizmów.
Poprawny rekord zaczyna się od znacznika v=DMARC1, wskazującego wersję protokołu, a następnie zawiera parametry rozdzielone średnikami. Najważniejszym parametrem jest p, określający politykę dla wiadomości, które nie spełniają wymagań DMARC. Przykładowy wpis v=DMARC1; p=none oznacza tryb monitorowania: odbiorca otrzymuje informację o polityce, ale sam rekord nie nakazuje odrzucania ani oznaczania wiadomości. Rekord TXT musi być poprawnie opublikowany i dostępny przez DNS; błędna nazwa, literówka w wartości lub nieprawidłowy format mogą spowodować pominięcie polityki.
Jak serwer odbiorcy ocenia wiadomość
DMARC przechodzi wtedy, gdy co najmniej jeden z dwóch mechanizmów uwierzytelniania zakończy się powodzeniem i jednocześnie zachodzi zgodność domen. Pierwsza możliwość to poprawny SPF oraz zgodność domeny użytej w wyniku SPF z domeną widoczną w nagłówku From:. Druga to poprawny podpis DKIM oraz zgodność domeny wskazanej w podpisie DKIM-Signature z domeną z nagłówka From:. Sam pozytywny wynik SPF albo DKIM nie zawsze wystarcza, jeżeli uwierzytelniona domena nie jest odpowiednio powiązana z domeną prezentowaną odbiorcy.
Zgodność może działać w trybie łagodnym albo ścisłym. Parametr adkim steruje dopasowaniem domeny DKIM, a aspf dopasowaniem domeny SPF. Wartość r oznacza tryb relaxed, w którym dopuszczone jest współdzielenie organizacyjnej części domeny, natomiast s wymaga pełnej zgodności nazw domen. Jeżeli parametrów tych nie ma w rekordzie, domyślnie stosowany jest tryb relaxed. Ocena DMARC dotyczy przede wszystkim domeny z pola From:, ponieważ to ona jest zwykle widoczna dla użytkownika jako adres nadawcy. Pola techniczne, takie jak Return-Path, mogą wskazywać inną domenę, ale jej wynik musi zostać prawidłowo zharmonizowany z domeną nagłówka.
Polityki, wyjątki i raporty diagnostyczne
Parametr p może przyjmować wartości none, quarantine albo reject. none służy do obserwacji i zbierania danych. quarantine wskazuje, że wiadomości niespełniające DMARC powinny zostać potraktowane jako podejrzane, na przykład skierowane do folderu spamu, przy czym ostateczne działanie zależy od serwera odbiorcy. reject wskazuje, że odbiorca powinien odrzucić wiadomość niespełniającą polityki. Rekord nie może wymusić identycznego zachowania w każdym systemie pocztowym, ponieważ decyzja końcowa należy do serwera przyjmującego.
Dla subdomen można określić osobną politykę za pomocą parametru sp. Procentowy parametr pct pozwala zastosować politykę tylko do części wiadomości objętych rekordem, co bywa użyteczne podczas stopniowego wdrażania ostrzejszych ustawień. Parametr rua wskazuje adresy do raportów zbiorczych, zwykle generowanych okresowo w formacie XML. Parametr ruf może wskazywać adresy raportów szczegółowych dotyczących pojedynczych przypadków, choć ich wysyłanie zależy od możliwości i polityki serwera odbiorcy. Dodatkowe ustawienia, takie jak fo, określają warunki tworzenia raportów diagnostycznych. Adresy raportowe powinny być poprawnie zapisane jako identyfikatory URI, na przykład mailto:Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript., a odbiorca raportów musi być przygotowany na dużą liczbę wiadomości automatycznych.
Znaczenie rekordu DMARC podczas diagnozowania problemów z pocztą
Nieudane przejście DMARC może wynikać z legalnej zmiany infrastruktury nadawczej, a nie wyłącznie z próby podszycia się pod domenę. Typowym powodem jest wysyłanie wiadomości przez zewnętrzny system, który nie został uwzględniony w SPF, brak podpisu DKIM albo podpis DKIM wykorzystujący domenę niezgodną z nagłówkiem From:. Problemy mogą pojawić się także po przekierowaniu wiadomości, zmianie usługi wysyłkowej, modyfikacji selektora DKIM lub przekroczeniu ograniczeń rekordu SPF. Sama obecność rekordu DMARC w DNS nie potwierdza, że wszystkie źródła wysyłki są poprawnie skonfigurowane.
Podczas analizy należy porównać nagłówki wiadomości z rekordami DNS, zwłaszcza wartości Authentication-Results, Received-SPF i DKIM-Signature. Ważne są domeny użyte w wynikach SPF i DKIM, a nie tylko słowa pass lub fail. W komputerze użytkownika można dodatkowo sprawdzić, czy aplikacja pocztowa nie zmienia nagłówka From: albo nie korzysta z niewłaściwego konta SMTP. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w przypadku lokalnych problemów z programem pocztowym można rozpocząć diagnostykę od konfiguracji systemu, aplikacji oraz połączenia sieciowego, pozostawiając ocenę polityki DMARC administratorowi domeny i serwerów pocztowych.
