Erstellen Sie einen DMARC-Record mit der von Ihnen gewählten Policy, den Report-Adressen und der Alignment-Einstellung. Jedes Tag wird erklärt, und ein stufenweiser Rollout zeigt, wie Sie sicher vom Monitoring zur Durchsetzung gelangen.
| Tag | Wert | Bedeutung |
|---|
| Stufe | Record | Was zu tun ist |
|---|---|---|
| 1. Beobachten | p=none; rua=mailto:... | Sammeln Sie einige Wochen lang Reports. Listen Sie jedes System auf, das in Ihrem Domainnamen sendet, und korrigieren Sie SPF oder DKIM für die legitimen. |
| 2. Durchsetzung beginnen | p=quarantine; pct=10 | Wenden Sie die Policy auf einen kleinen Anteil fehlschlagender Mails an und erhöhen Sie pct schrittweise (25, 50, 100), solange die Reports sauber bleiben. |
| 3. Volle Quarantäne | p=quarantine; pct=100 | Bleiben Sie hier, bis keine legitime Quelle mehr fehlschlägt. |
| 4. Reject | p=reject | Fehlschlagende Mails werden abgewiesen. Lesen Sie weiter die Reports; später hinzukommende Absender müssen eingerichtet werden. |
Wie lange Sie auf jeder Stufe bleiben, hängt davon ab, wie viele Systeme für Ihre Domain senden. Die Stufennamen sind unser Vorschlag und nicht Teil des DMARC-Standards.
Der Generator läuft in Ihrem Browser und speichert nichts. Halten Sie je Domain immer nur einen DMARC-Record, veröffentlicht als TXT-Record unter _dmarc.
SPF und DKIM prüfen jeweils etwas, aber keines sagt, was bei einem Fehlschlag zu tun ist, und keines ist an die Adresse gebunden, die Menschen in der From-Zeile tatsächlich sehen. DMARC löst beides. Es sagt Empfängern: Akzeptiert Mail nur dann als von dieser Domain stammend, wenn SPF oder DKIM mit derselben Domain wie die From-Adresse bestanden hat, und so verfahrt ihr mit Mail, die das nicht tut. Außerdem bittet es Empfänger, Ihnen Reports zu senden, und so erfahren Sie, wer in Ihrem Domainnamen Mail verschickt.
| Tag | Was es bewirkt | Hinweise |
|---|---|---|
| v | Version | Immer DMARC1 und immer an erster Stelle. |
| p | Policy für fehlschlagende Mails: none, quarantine oder reject | Erforderlich. |
| sp | Policy für Subdomains | Optional. Ohne Angabe folgen Subdomains p. |
| rua | Ziel für Aggregate-Reports | Dringend empfohlen. Eine oder mehrere mailto:-Adressen. |
| ruf | Ziel für Failure-Reports | Optional. Viele große Empfänger senden diese nicht. |
| adkim, aspf | Alignment-Modus: relaxed (r) oder strict (s) | Relaxed ist der Standard und passt für die meisten Domains. |
| pct | Prozentsatz fehlschlagender Mails, auf den die Policy angewendet wird | Damit führen Sie quarantine oder reject schrittweise ein. |
| fo | Wann Failure-Reports erzeugt werden | 0 (Standard), 1, d oder s. |
| ri | Gewünschte Sekunden zwischen Aggregate-Reports | Standard ist 86400, ein Tag. Empfänger können dies ignorieren. |
Der häufige Fehler ist, am ersten Tag p=reject zu veröffentlichen und über zurückgewiesene Rechnungen zu merken, dass ein vergessenes System in Ihrem Namen gesendet hat. Der sichere Weg: erst beobachten und nur bei sauberen Reports verschärfen.
Die Stufentabelle unter dem Generator zeigt jeden Schritt als kopierbaren Record.
DMARC besteht, wenn SPF oder DKIM besteht und die bestandene Domain zur From-Domain passt. Bei relaxed Alignment zählt eine Subdomain als Treffer: Mail von mail.example.com passt zu einem From von example.com. Bei strict Alignment müssen die Domains identisch sein. Strict lohnt sich nur, wenn Sie jeden Absender kontrollieren und die engste Regel wollen; es kann legitime Mail von Drittdiensten, die Subdomains nutzen, scheitern lassen.
Liegt Ihre rua-Adresse auf einer anderen Domain als der geschützten, etwa bei einem Report-Dienst, prüfen Empfänger, ob die andere Domain dem Empfang Ihrer Reports zustimmt. Das geschieht über einen TXT-Record unter yourdomain._report._dmarc.otherdomain mit dem Wert v=DMARC1. Report-Dienste richten das normalerweise für Sie ein; der Generator erinnert Sie, wenn es zutrifft.
Die täglichen rua-Reports sind komprimierte XML-Dateien, eine je Empfänger, mit sendenden IPs, Nachrichtenzahlen sowie SPF- und DKIM-Ergebnissen. Von Hand sind sie kaum lesbar, sobald mehr als ein paar täglich eintreffen. Die meisten nutzen einen Report-Dienst oder ein Skript, das daraus eine Tabelle macht. Prüfen Sie sie in jedem Fall regelmäßig, besonders nach dem Hinzufügen eines neuen Versanddienstes.
Legen Sie einen TXT-Record namens _dmarc an Ihrer Domain an (der vollständige Name lautet also _dmarc.example.com) und fügen Sie den generierten Wert ein. Es darf genau einen DMARC-Record geben. Prüfen Sie nach der DNS-Aktualisierung die Domain mit unserem SPF-, DKIM- und DMARC-Checker, um sicherzugehen, dass sie wie gewünscht gelesen wird.
Setzt die Tags in Standardreihenfolge, ergänzt das Präfix mailto: für Sie und sperrt das Kopieren, solange eine Adresse ungültig ist.
Markiert reject ohne Reports, strict Alignment, Reports an eine andere Domain und Records, die so lang sind, dass sie geteilt werden müssen.
Eine Tabelle listet jedes Tag Ihres Records mit seiner Bedeutung auf, damit Sie wissen, was Sie veröffentlichen.
Ein Vier-Stufen-Plan führt Sie von p=none zu p=reject.
v=DMARC1; p=none; rua=mailto:an-address-you-read. Er ändert nichts an der Zustellung und startet die Reports, die zeigen, wer in Ihrem Domainnamen sendet.
Quarantine bittet Empfänger, fehlschlagende Mails als verdächtig zu behandeln, meist durch Ablage im Spam. Reject bittet sie, die Mails abzuweisen. Beides hängt davon ab, dass der Empfänger Ihrer Policy folgt.
Es legt den Anteil fehlschlagender Mails fest, auf den die Policy angewendet wird. Es dient dem sanften Einstieg in quarantine oder reject: niedrig beginnen und erhöhen, solange die Reports sauber bleiben.
Meist nicht. Relaxed Alignment lässt Subdomains passen, was für die meisten Setups geeignet ist. Strict Alignment kann dazu führen, dass legitime Mail von Drittdiensten scheitert, wenn diese eine Subdomain nutzen.
Meist nicht. Failure-Reports sind optional, viele große Empfänger senden sie nicht, und sie können Teile des Nachrichteninhalts enthalten. Nützlich sind die Aggregate-Reports (rua).
Als TXT-Record namens _dmarc an Ihrer Domain, zum Beispiel _dmarc.example.com. Es darf nur einen geben.
Reports werden etwa einmal täglich von jedem Empfänger gesendet und nur für Mail, die er verarbeitet hat. Planen Sie nach der Veröffentlichung ein paar Tage ein und prüfen Sie, ob die Adresse korrekt geschrieben und, falls sie auf einer anderen Domain liegt, dort autorisiert ist.
Prüfen Sie, was Empfänger für Ihre Domain sehen: SPF, DKIM und DMARC in einem Durchlauf.
Konto erstellen, Domain hinzufügen und die erste E-Mail senden.