DMARC to rekord, który zamienia SPF i DKIM w realną ochronę przed podszywaniem się (spoofingiem). Mówi serwerom odbiorczym, co mają zrobić z pocztą, która nie przejdzie Twoich weryfikacji, i dostarcza raporty o tym, kto wysyła wiadomości w imieniu Twojej domeny. Oto jak skonfigurować go od podstaw.
Krok 1: upewnij się, że SPF i DKIM działają
DMARC opiera się na dwóch pozostałych mechanizmach. Najpierw opublikuj SPF oraz DKIM, inaczej DMARC nie będzie miał czego egzekwować.
Krok 2: opublikuj rekord w trybie monitorowania
Zacznij od trybu monitorowania, aby móc obserwować sytuację, zanim zaczniesz egzekwować politykę. Dodaj rekord TXT pod adresem _dmarc.yourdomain.com:
v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com
p=noneoznacza, że na razie nie podejmuj żadnych działań, tylko raportuj.rua=to adres, który otrzymuje codzienne raporty zbiorcze. To stąd czerpiesz wgląd w to, co się dzieje.
Krok 3: czytaj raporty
Dostawcy skrzynek pocztowych wysyłają na Twój adres rua raporty w formacie XML, pokazujące każde źródło wysyłające pocztę w imieniu Twojej domeny oraz to, czy przeszło ono weryfikację SPF, DKIM i wyrównania (alignment). Wykorzystaj je, aby potwierdzić, że wszyscy Twoi legalni nadawcy przechodzą weryfikację, zanim zaostrzysz politykę.
Krok 4: zaostrzaj politykę
Gdy Twoi prawdziwi nadawcy przechodzą weryfikację bez zarzutu, przejdź z p=none na p=quarantine, a ostatecznie na p=reject. Rób to etapami. Zobacz jak bezpiecznie przejść z p=none do reject.
Krok 5: zweryfikuj
Przeskanuj swoją domenę, aby potwierdzić, że rekord jest poprawnie odczytywany, zawiera politykę oraz adres rua do raportowania.
Odczytujemy wyłącznie publiczny DNS. Nic nie zapisujemy, dopóki nie przypiszesz domeny do konta.