DMARC – polityki, raporty i bezpieczne wdrożenie

Co DMARC dodaje do SPF i DKIM

SPF sprawdza nadawcę koperty, a DKIM – domenę, która podpisała wiadomość. Żaden z nich nie patrzy na adres, który odbiorca faktycznie widzi w nagłówku From:, więc same w sobie nie powstrzymają nikogo przed wysyłaniem poczty „z” Twojej domeny. Tę lukę zamyka DMARC (RFC 7489). Wymaga, żeby SPF lub DKIM dał wynik pozytywny dla domeny zgodnej z domeną w From:, pozwala opublikować politykę dla poczty, która tego warunku nie spełnia, i dostarcza raporty o tym, kto wysyła pocztę w Twoim imieniu.

Rekord DMARC

DMARC to jeden rekord TXT pod nazwą _dmarc w Twojej domenie:

_dmarc.firma.pl.  3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:raporty-dmarc@firma.pl"

Podobnie jak w przypadku SPF, domena może mieć tylko jeden rekord DMARC – przy dwóch serwery ignorują oba. Polityka domeny głównej obejmuje też subdomeny, chyba że ustawisz sp=.

Trzy polityki

• p=none – tylko monitorowanie. Niezgodna poczta jest dostarczana normalnie, a Ty dostajesz raporty. Przydaje się przez kilka tygodni, gdy ustalasz, kto wysyła pocztę z Twojej domeny, ale nie chroni przed podszywaniem się.
• p=quarantine – poczta, która nie przeszła DMARC, ma być traktowana jako podejrzana; w praktyce zwykle trafia do spamu.
• p=reject – poczta, która nie przeszła DMARC, ma zostać odrzucona. To najsilniejsza ochrona Twojej marki i Twoich odbiorców.

Serwery traktują politykę jako stanowczą prośbę, a nie rozkaz, ale duzi operatorzy poczty się do niej stosują.

Wyrównanie (alignment) – o tym najłatwiej zapomnieć

Wiadomość przechodzi DMARC, gdy spełniony jest którykolwiek z warunków:

• SPF daje wynik pass, a domena nadawcy koperty zgadza się z domeną w From:, albo
• DKIM daje wynik pass, a domena z podpisu (d=) zgadza się z domeną w From:.

Przy łagodnym wyrównaniu (domyślnym) „zgadza się” oznacza tę samą domenę organizacyjną, więc mail.firma.pl jest wyrównana z firma.pl. Ścisłe wyrównanie wymaga identycznej nazwy. To dlatego zewnętrzne narzędzie może przechodzić SPF i DKIM, a mimo to nie przechodzić DMARC: uwierzytelnia się własną domeną. Żeby to naprawić, skonfiguruj w usłudze podpis DKIM dla swojej domeny (zwykle jako „własna domena” lub „uwierzytelnianie domeny”) albo adres zwrotny w swojej domenie.

Jak czytać raporty DMARC

Raporty zbiorcze (rua)

Serwery obsługujące DMARC wysyłają na adres z rua codzienne podsumowanie w XML: z jakich adresów IP wysłano pocztę z Twoją domeną, ile było wiadomości i czy przeszły SPF, DKIM i wyrównanie. Nie zawierają treści wiadomości i są głównym narzędziem przy wdrażaniu DMARC. Surowy XML trudno czytać, więc zwykle korzysta się z przeglądarki raportów. Jeśli adres jest w innej domenie, ta domena musi opublikować rekord autoryzujący (np. firma.pl._report._dmarc.raporty.example.net).

Raporty o błędach (ruf)

Raporty o błędach opisują pojedyncze niezgodne wiadomości i mogą zawierać nagłówki albo fragmenty treści. Wielu dużych operatorów w ogóle ich nie wysyła, a ponieważ mogą zawierać dane osobowe, zastanów się, czy ich potrzebujesz – w świetle RODO ich zbieranie to przetwarzanie danych osobowych jak każde inne.

Bezpieczne wdrożenie krok po kroku

1. Spisz nadawców. Dostawca skrzynek, narzędzie do newsletterów, program do faktur, sklep internetowy, CRM, helpdesk – wszystko, co wysyła pocztę z Twoją domeną.
2. Uwierzytelnij każdego z nich. Dopisz ich do jedynego rekordu SPF i wszędzie, gdzie to możliwe, włącz podpis DKIM dla swojej domeny.
3. Monitoruj. Opublikuj p=none z adresem rua i przez dwa–cztery tygodnie czytaj raporty. Napraw każde prawdziwe źródło poczty, które nie przechodzi wyrównania.
4. Kwarantanna. Przejdź na p=quarantine. Jeśli chcesz działać ostrożnie, a serwery Twoich odbiorców to obsługują, pct= pozwala zacząć od części ruchu.
5. Odrzucanie. Gdy raporty pozostają czyste, ustaw p=reject i co jakiś czas wracaj do raportów – nowe narzędzia łatwo dodać i o nich zapomnieć.

Domena, która w ogóle nie wysyła poczty, może od razu dostać v=DMARC1; p=reject razem z rekordem SPF v=spf1 -all.

DMARC w AnyMail

Weryfikacja DNS w AnyMail wymaga polityki egzekwującej: p=quarantine albo p=reject. Rekord z p=none nie przechodzi weryfikacji, tak jakby go w ogóle nie było, bo polityka samego monitorowania nie chroni domeny przed podszywaniem się. Panel podpowiada wartość v=DMARC1; p=quarantine; możesz dodać do niej raporty rua albo zaostrzyć ją do p=reject.

Jeśli z Twojej domeny wysyłają już pocztę inne usługi, przeprowadź opisany wyżej etap monitorowania przed podłączeniem domeny, żeby polityka egzekwująca nie wysłała ich wiadomości do spamu. W przypadku nowej domeny albo takiej, która wysyła pocztę tylko przez AnyMail, możesz od razu opublikować politykę egzekwującą – AnyMail podpisuje każdą wiadomość kluczem DKIM Twojej domeny, więc jego poczta jest wyrównana.

Aktualny rekord sprawdzisz poleceniem dig TXT _dmarc.firma.pl +short albo za pomocą narzędzia do sprawdzania domeny.