DMARC

Was DMARC ist

Domain-based Message Authentication, Reporting, and Conformance ist die Richtlinienschicht über SPF und DKIM. Diese beiden Mechanismen liefern Bestanden- oder Fehlgeschlagen-Ergebnisse, aber jeder authentifiziert eine andere Identität: SPF prüft den Envelope-Absender, DKIM die signierende Domain, und keine von beiden muss zur From:-Adresse passen, die eine Person sieht. DMARC schließt diese Lücke. Es besteht nur, wenn mindestens SPF oder DKIM besteht und die authentifizierte Domain mit der From:-Domain übereinstimmt. Dann sagt es Empfängern, was mit fehlschlagender Mail zu tun ist.

Die Richtlinie ist ein TXT-Record unter _dmarc.example.com:

v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com; adkim=s; aspf=r

Die Tags lesen

• p= ist die Richtlinie für fehlschlagende Mail: none (zustellen, nur berichten), quarantine (in den Spam) oder reject (ablehnen).
• rua= ist das Ziel für aggregierte Berichte. Empfänger senden eine tägliche XML-Zusammenfassung, welche Quellen Mail für Ihre Domain gesendet haben und wie sie authentifiziert wurde.
• ruf= fordert forensische Berichte zu einzelnen Fehlschlägen an; viele Empfänger senden sie nicht mehr.
• adkim= und aspf= setzen die Ausrichtung auf relaxed (r, Subdomains erlaubt) oder strict (s, exakte Übereinstimmung).
• pct= wendet die Richtlinie auf einen Prozentsatz fehlschlagender Mail an, nützlich beim Ausrollen.
• sp= setzt eine separate Richtlinie für Subdomains.

Warum es wichtig ist

Eine Domain ohne DMARC oder mit p=none kann im sichtbaren From:-Feld nachgeahmt werden — darauf beruht Phishing. Große Postfachanbieter verlangen inzwischen von jedem Massenversender einen DMARC-Record und bewerten Mail von Domains mit durchsetzender Richtlinie günstiger. Die Berichte sind für sich wertvoll: Sie zeigen jeden Dienst, der als Ihre Domain sendet, einschließlich vergessener und Fälscher — die Information, die Sie brauchen, bevor Sie von none zu reject wechseln.

So prüfen Sie es

Nutzen Sie den DNS-Lookup mit Typ TXT auf _dmarc.ihredomain.com. Es muss genau einen Record geben, der mit v=DMARC1 beginnt. Um DMARC in Aktion zu sehen, fügen Sie die Header einer empfangenen Nachricht in die E-Mail-Header-Analyse ein: Die Zeile Authentication-Results zeigt dmarc=pass oder dmarc=fail mit der vom Empfänger angewendeten Richtlinie.

Ein sinnvolles Ausrollen

Beginnen Sie mit p=none und einer rua=-Adresse, lesen Sie die Berichte einige Wochen, beheben Sie jede legitime Quelle, die fehlschlägt, wechseln Sie zu p=quarantine mit steigendem pct= und enden Sie bei p=reject. Den Überwachungsschritt zu überspringen ist der Weg, auf dem Unternehmen ihre eigenen Rechnungen im Spam-Ordner verlieren.