Auf einen Blick. Eintrag: TXT unter _dmarc.ihredomain · Beginnen mit: p=none und einer rua-Adresse · Besteht, wenn: SPF oder DKIM im Alignment besteht · Endzustand: p=reject, wenn die Berichte sauber sind
Die Kurzfassung
- Was die Richtlinie ist. Ein DMARC-Eintrag wird als TXT-Eintrag unter _dmarc auf Ihrer Domain veröffentlicht.
- Die drei Richtlinien. Bei p=none unternehmen Empfänger wegen DMARC nichts und senden Ihnen Berichte.
- Alignment: relaxed und strict. DMARC fragt nicht nur, ob SPF oder DKIM bestanden hat.
- Subdomain-Richtlinie und pct. Das sp-Tag legt eine abweichende Richtlinie für Subdomains fest.
- Berichte: rua und ruf. Das rua-Tag bestimmt, wohin Aggregatberichte gesendet werden.
- Ein sicherer Rollout. Veröffentlichen Sie p=none mit einer Berichtsadresse, die Sie auch lesen werden.
Was die Richtlinie ist
Ein DMARC-Eintrag wird als TXT-Eintrag unter _dmarc auf Ihrer Domain veröffentlicht. Sein p-Tag ist die Richtlinie: Sie sagt Empfängern, was sie mit einer Nachricht tun sollen, die vorgibt, von Ihrer Domain zu stammen, und die DMARC-Prüfung nicht besteht.
v=DMARC1; p=none; rua=mailto:dmarc@example.comDie Prüfung selbst ist einfach. SPF oder DKIM muss bestehen, und die bestandene Domain muss mit der Domain in der From-Adresse übereinstimmen. Gelingt beides nicht, fällt die Nachricht bei DMARC durch, und die Richtlinie greift.
Die drei Richtlinien
Bei p=none unternehmen Empfänger wegen DMARC nichts und senden Ihnen Berichte. Bei p=quarantine sollen sie fehlgeschlagene E-Mails als verdächtig behandeln, was meist den Spam-Ordner bedeutet. Bei p=reject sollen sie die Nachricht bei der Zustellung ablehnen.
Beginnen Sie mit none. Es kann nichts blockieren und ist daher sicher, und die Berichte zeigen Ihnen jedes System, das im Namen Ihrer Domain sendet. Wechseln Sie erst nach oben, wenn die Berichte zeigen, dass Ihre legitimen E-Mails bestehen.
Alignment: relaxed und strict
DMARC fragt nicht nur, ob SPF oder DKIM bestanden hat. Es fragt, ob die bestandene Domain zur selben Organisation gehört wie die From-Domain. Beim relaxed Alignment, das der Standard ist, passt eine Subdomain wie mail.example.com zu example.com. Beim strict Alignment müssen die Domains exakt übereinstimmen.
Das Alignment wird für jede Methode getrennt mit den Tags aspf und adkim festgelegt. Ein Drittanbieter, der mit seiner eigenen Domain signiert, besteht DKIM, ist aber nicht im Alignment; richten Sie daher bei jedem Versanddienst Ihre eigene Domain ein.
Subdomain-Richtlinie und pct
Das sp-Tag legt eine abweichende Richtlinie für Subdomains fest. Ohne dieses Tag folgen Subdomains der Richtlinie p. Das ist nützlich, wenn die Hauptdomain bereit zur Durchsetzung ist, einige Subdomains aber noch nicht, oder wenn Sie Subdomains schützen wollen, die nie E-Mails senden.
Das pct-Tag wendet die Richtlinie nur auf einen Teil der fehlgeschlagenen E-Mails an. Bei p=quarantine und pct=10 wird etwa ein Zehntel der fehlgeschlagenen Nachrichten unter Quarantäne gestellt, und die übrigen werden so behandelt, als läge die Richtlinie eine Stufe niedriger. Erhöhen Sie den Wert in Schritten, solange die Berichte sauber bleiben.
Berichte: rua und ruf
Das rua-Tag bestimmt, wohin Aggregatberichte gesendet werden. Empfänger senden sie als komprimiertes XML, meist täglich, mit den sendenden IPs, den Nachrichtenzahlen und den SPF- und DKIM-Ergebnissen. Sie sind der Nachweis, den Sie brauchen, bevor Sie die Richtlinie verschärfen. Das ruf-Tag fordert Fehlerberichte an, die viele große Empfänger nicht senden.
Liegt die Berichtsadresse auf einer anderen Domain, muss diese Domain sie mit einem DMARC-Eintrag unter ihredomain._report._dmarc.anderedomain autorisieren. Berichtsdienste richten das normalerweise für Sie ein.
Ein sicherer Rollout
Veröffentlichen Sie p=none mit einer Berichtsadresse, die Sie auch lesen werden. Führen Sie in den folgenden Wochen jede Quelle aus den Berichten auf und beheben Sie SPF oder DKIM für jede legitime. Wechseln Sie dann zu p=quarantine mit einem kleinen pct und erhöhen Sie es, und erst danach zu p=reject.
Rechnen Sie mit Überraschungen: ein Abrechnungssystem, ein vergessenes Marketing-Tool, ein Newsletter-Dienst. Jede Quelle, die in der none-Phase gefunden wird, wäre bei reject eine verlorene Nachricht gewesen. Unser DMARC-Generator zeigt den Rollout als Reihe von Einträgen, die Sie kopieren können.
Was DMARC nicht leisten kann
DMARC schützt die exakte Domain in der From-Adresse davor, gefälscht zu werden. Es stoppt keine ähnlich aussehenden Domains und keinen Spam von einer Domain, die dem Absender tatsächlich gehört. Weiterleitungen und manche Mailinglisten können außerdem das Alignment brechen, weshalb große Empfänger DMARC zusammen mit anderen Signalen gewichten.
Der Standard wird zudem bei der IETF überarbeitet, lesen Sie daher die aktuelle Spezifikation, wenn Sie eine Änderung planen.
Weiterführende Literatur und Quellen
In MigoSMTP umsetzen: Artikel im Help-Center
- DMARC-Berichte lesen und zu p=reject wechseln
- Eigene Return-Path- und Tracking-Domains
- Eine Absenderdomain in MigoSMTP authentifizieren: SPF, DKIM und DMARC
Verwandte Leitfäden und Tools
- DMARC-Eintrag-Generator: Einen Eintrag erstellen und den Rollout sehen.
- SPF-, DKIM- und DMARC-Checker: Ihre aktuellen Einträge lesen.
- DMARC einrichten: Die Schritt-für-Schritt-Anleitung.
- SPF-, DKIM- und DMARC-Fehler beheben: Eine Fehlermeldung lesen und beheben.
Unsicher, ob Ihre Einträge stimmen? Nutzen Sie unseren kostenlosen Checker oder senden Sie uns einen Header, und wir helfen Ihnen beim Lesen.
Häufig gestellte Fragen
Welche drei DMARC-Richtlinien gibt es?
None bittet Empfänger, bei E-Mails, die DMARC nicht bestehen, nichts zu unternehmen; quarantine bittet sie, die Nachricht als verdächtig zu behandeln, meist durch Ablage im Spam-Ordner; reject bittet sie, die Nachricht bei der Zustellung abzulehnen. Die Richtlinie wird mit dem p-Tag festgelegt.
Was ist DMARC-Alignment?
Eine Nachricht besteht DMARC, wenn SPF oder DKIM besteht und die bestandene Domain mit der Domain in der sichtbaren From-Adresse übereinstimmt. Beim relaxed Alignment darf eine Subdomain mit ihrer übergeordneten Domain übereinstimmen. Beim strict Alignment ist eine exakte Übereinstimmung erforderlich.
Was bewirkt pct in einem DMARC-Eintrag?
Es legt den Prozentsatz der fehlgeschlagenen E-Mails fest, auf den die Richtlinie angewendet wird. Damit führen Sie quarantine oder reject schrittweise ein, etwa indem Sie bei 10 beginnen und den Wert erhöhen, solange die Berichte sauber bleiben.
Garantiert DMARC, dass gefälschte E-Mails blockiert werden?
Nein. Die Richtlinie ist eine Bitte, die Empfänger nach eigenem Ermessen befolgen, und die meisten großen Empfänger tun das. Weiterleitungen und Mailinglisten können das Alignment ebenfalls brechen, lesen Sie daher Ihre Berichte, bevor Sie durchsetzen.