DMARC je záznam v DNS, kterým vlastník domény říká ostatním poštovním serverům: „Takhle poznáte, že zpráva opravdu přišla od nás, a tohle udělejte se zprávami, které kontrolou neprojdou.“ Bez DMARC se kdokoli může vydávat za Vaši doménu a příjemci nemají podle čeho podvrh odmítnout.
Jak DMARC funguje
DMARC staví na dvou starších mechanismech:
- SPF ověří, že zprávu odeslal server, který k tomu má od domény povolení (návod k SPF),
- DKIM ověří elektronický podpis zprávy.
Zpráva projde kontrolou DMARC, když projde SPF nebo DKIM a zároveň se ověřená doména shoduje s doménou v adrese odesílatele, kterou vidí příjemce (hlavička From). Tomu se říká zarovnání (alignment). Právě zarovnání brání nejčastějšímu podvodu – útočník může mít platné SPF pro svou doménu, ale do pole Od napíše tu Vaši.
Co potřebujete předem
- Funkční SPF se všemi servery a službami, které za doménu posílají.
- DKIM na poštovním serveru a ideálně i v dalších službách (newsletter, CRM, fakturace).
- Adresu pro reporty, například
dmarc@firma.cz. Chodí na ni denně zprávy v XML, proto je vhodná samostatná schránka.
Krok 1: záznam v režimu sledování
Do DNS přidejte TXT záznam na _dmarc Vaší domény:
_dmarc.firma.cz. TXT "v=DMARC1; p=none; rua=mailto:dmarc@firma.cz"Politika p=none zatím na doručování nic nemění – jen začnete dostávat reporty o tom, kdo za Vaši doménu posílá a jestli projde kontrolami.
Co znamenají jednotlivé položky
| Položka | Význam |
|---|---|
v=DMARC1 | verze, musí být první |
p= | politika pro doménu: none (sledovat), quarantine (do spamu), reject (odmítnout) |
sp= | politika pro subdomény, pokud má být jiná než p |
rua= | kam posílat souhrnné denní reporty |
ruf= | kam posílat reporty o jednotlivých zprávách – většina poskytovatelů je kvůli ochraně soukromí neposílá |
pct= | na kolik procent zpráv se politika uplatní – hodí se při postupném zpřísňování |
adkim=, aspf= | zarovnání DKIM a SPF: r volné (stačí stejná hlavní doména), s přísné (přesná shoda) |
Pokud reporty posíláte na adresu v jiné doméně (např. ke službě, která je zpracuje), musí cílová doména zveřejnit povolovací záznam, jinak je odesílatelé reportů zahodí.
Krok 2: čtení reportů
Reporty chodí jako komprimované XML soubory od Gmailu, Microsoftu, Seznamu a dalších. Ručně se čtou špatně, proto se používají nástroje, které je převedou na přehled (open-source např. parsedmarc, případně online služby). Sledujte hlavně:
- neznámé zdroje, které posílají jako Vaše doména – buď zapomenutá služba (doplnit do SPF/DKIM), nebo podvodník,
- legitimní zdroje, které neprojdou – typicky fakturační systém nebo newsletter bez DKIM.
Počítejte s 2–4 týdny, než se v reportech ukážou i odesílatelé, kteří posílají jen občas (měsíční faktury, upomínky).
Krok 3: postupné zpřísnění
p=quarantine; pct=25– čtvrtina neověřených zpráv půjde do spamu. Týden sledujte reporty a stížnosti.p=quarantine(bezpct, tj. 100 %).p=reject– podvržené zprávy se odmítnou úplně. Cílový stav.
_dmarc.firma.cz. TXT "v=DMARC1; p=reject; rua=mailto:dmarc@firma.cz"Na co si dát pozor
- Přeposílání – při automatickém přeposílání neprojde SPF (zprávu posílá jiný server). Proto je důležitý DKIM, který přeposlání přežije.
- E-mailové konference často mění předmět nebo tělo zprávy, a tím rozbijí podpis DKIM. Moderní konferenční software to řeší přepsáním odesílatele.
- Domény, ze kterých neposíláte – i na ně dejte
p=rejecta SPFv=spf1 -all, jinak jsou snadným cílem podvodníků. - Nezůstávejte na
p=none– sledování nic nechrání. Je to jen přechodná fáze.
Jak ověřit výsledek
Stav DMARC, SPF a DKIM své domény zkontrolujete v našem bezplatném testu domény. U konkrétní zprávy najdete výsledek v hlavičce Authentication-Results – v Gmailu přes „Zobrazit originál“, kde by u SPF, DKIM i DMARC mělo stát PASS.
Chcete mít poštu chráněnou bez starostí?
Čistý mail filtruje spam, viry a phishing dřív, než dorazí do schránky. Vyzkoušejte ho 30 dní zdarma.