DMARC: mida vastuvõtjad peavad tegema võltspostiga

Moodul 4: Kirjed e-posti jaoks · Lugemisaeg: 10 minutit

Õpieesmärk: Pärast seda tundi oskad selgitada, kuidas DMARC ühendab SPF ja DKIM, koostada kehtiva DMARC-kirje ja reeglit samm-sammult karmistada.

Põhimõisted: DMARC, _dmarc, v=DMARC1, reegel p=none / quarantine / reject, joondus (alignment), rua-aruanded, sp= ja np=, testrežiim t=, üks DMARC-kirje

Puuduv tükk

SPF (tund 4.3) kontrollib, millisest serverist kiri tuleb, aga vaatab tehnilist envelope-aadressi. DKIM (tund 4.4) kontrollib allkirja, aga see võib kuuluda mis tahes domeenile. Petis võib seega saata kirja väljaga "Saatja: info@example.com", mis läbib SPF-i edukalt enda domeeni jaoks ja on korralikult allkirjastatud enda domeeni poolt.

DMARC (Domain-based Message Authentication, Reporting and Conformance) sulgeb selle ringi. See esitab ühe küsimuse: kas õnnestunud SPF- või DKIM-kontroll kuulub domeenile, mida vastuvõtja näeb väljas "Saatja:"? Seda nimetatakse joonduseks (alignment). Ja sa ütled vastuvõtjatele, mida teha, kui vastus on ei.

DMARC kirjeldati 2015. aastal dokumendis RFC 7489. 2026. aasta mais ilmus täiendatud versioon ametliku internetistandardina: RFC 9989 (koos RFC 9990 ja 9991 aruannete jaoks). Olemasolevad kirjed väärtusega v=DMARC1 jäävad kehtima.

Kuidas vastuvõtja otsustab

Kui saabub kiri saatjaga info@example.com, teeb vastuvõtja järgmist:

1. SPF: kas kiri tuleb lubatud serverist ja kas envelope-domeen kuulub domeenile example.com?
2. DKIM: kas on kehtiv allkiri ja kas allkirjastav domeen (d=) kuulub domeenile example.com?
3. DMARC: kas vähemalt üks neist kahest õnnestus ja on joondatud? Siis on kiri korras. Kui mitte, järgib vastuvõtja sinu reeglit.

Ühest kahest piisab. Seetõttu on DKIM nii oluline teenustele, mis saadavad kirju oma envelope-aadressiga, nagu paljud uudiskirjateenused: seal õnnestub SPF küll, aga mitte sinu domeeni jaoks. Ainult DKIM-allkiri väärtusega d=example.com teeb selle siis korda.

"Kuulub" tähendab vaikimisi: sama organisatsioonidomeen. nieuws.example.com kuulub domeenile example.com. Seda nimetatakse relaxed (leebeks) joonduseks. Väärtustega adkim=s või aspf=s (strict, range) peab domeen olema täpselt sama. Peaaegu kõigile sobib leebe variant.

Milline näeb välja DMARC-kirje?

DMARC-kirje on TXT-kirje sinu domeeni nimel _dmarc:

_dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

See koosneb osadest (tags), mille vahel on semikoolon.

Reegli valimine

Mõistlik järjekord:

1. Kõigepealt vii SPF ja DKIM korda kõigi teenuste jaoks, mis saadavad kirju sinu nimel: su meiliteenuse pakkuja, su veebisait, su uudiskirjateenus, su raamatupidamisprogramm, su e-pood.
2. Alusta väärtusega p=none ja rua-aadressiga. Vaata paar nädalat aruandeid, et näha, millised teenused saadavad kirju sinu domeeni nimel ja kas need õnnestuvad.
3. Liigu väärtusele p=quarantine ja kui kõik jääb korras, liigu väärtusele p=reject.

Kui kahtled, kas kõik su teenused on korralikult seadistatud, ära liigu kohe väärtusele reject. Unustatud teenus (näiteks programm, mis saadab su arveid) ei pruugi siis enam kohale jõuda.

Mõned majutusettevõtted seadistavad uuele paketile kohe range DMARC-kirje (p=reject). See on turvaline seni, kuni kogu su meil liigub nende serverite kaudu. Kui hakkad meile saatma ka teiste teenuste kaudu, kontrolli kõigepealt nende teenuste SPF-i ja DKIM-i.

Aruanded

Väärtusega rua=mailto:dmarc@example.com saad suurtelt vastuvõtjatelt iga päev kokkuvõtte (XML-faili) selle kohta, kes sinu domeeni nimel kirju saatis ja kas see õnnestus. Kasulik, aga tehniline. Kasuta selleks eraldi aadressi; päevas tuleb kiiresti mitu aruannet. On olemas teenuseid, mis teevad aruanded loetavaks.

Kui saadad aruanded aadressile teisel domeenil (näiteks aruandlusteenuse domeenil), peab see teine domeen andma oma DNS-is loa. Teenus korraldab selle enamasti ise.

Levinud vead

• Kaks DMARC-kirjet. Nimel _dmarc tohib olla ainult üks. Kahe korral käitub vastuvõtja nii, nagu sul polekski DMARC-i. Muuda olemasolevat kirjet.
• Vale nimi. Kirje peab olema nimel _dmarc.example.com, mitte domeenil example.com endal.
• Kirjavead osades. p=reject toimib, p=rejected või policy=reject ei toimi. Ilma kehtiva p=-väärtuseta loetakse kirje väärtuseks p=none.
• DMARC-i sisselülitamine enne, kui SPF ja DKIM on korras. Siis lükkad tagasi oma enda kirjad.
• Liiga kiire ülekontrollimine pärast muudatust. DMARC-kirjel on mõnikord pikk TTL (näiteks neli tundi). Pärast muudatust näed vana kirjet veel mõnda aega.

Miks see oluline on

Alates 2024. aasta veebruarist nõuavad Gmail ja Yahoo suurte kirjakoguste saatjatelt (üle 5000 kirja päevas) DMARC-kirjet, vähemalt väärtusega p=none, ja et SPF või DKIM õnnestuks joondatult. Microsoft nõuab sama alates 2025. aasta maist domeenide Outlook.com ja Hotmail jaoks. Ka väikestele saatjatele parandab DMARC kättetoimetamist ja kaitseb su kliente võltsarvete eest, mis saadetakse sinu nimel.

Praktikas: nii näeb see välja paneelis

Selles näites kasutame DirectAdmin. Jaotises DNS Administration klõpsa pliiatsikesel TXT-kirje _dmarc taga, või loo uus TXT-kirje nimega _dmarc ja vali välja TXT Record Type juures DMARC. Jaotises Domain policy type vali Reject, Quarantine või None; jaotises Aggregate Email (RUA) sisesta soovi korral aruandeaadress. Minu WebOké-l on sarnane DMARC-abivahend vahekaardil DNS.

Kui su paneelis abivahendit pole, loo tavaline TXT-kirje nimel _dmarc ja sisesta tekst ise. Tulemus on sama.

Kokkuvõte

• DMARC kontrollib, kas SPF või DKIM õnnestub väljas "Saatja:" oleva domeeni jaoks (joondus).
• Kirje asub nimel _dmarc.<domeen>, algab väärtusega v=DMARC1 ja sellel on reegel p=none, quarantine või reject.
• Kõigepealt SPF ja DKIM kõigi teenuste jaoks, siis p=none koos aruannetega, seejärel karmistamine.
• Täpselt üks DMARC-kirje domeeni kohta.

Test

Ülesanne

Ülesanne Z4.5: DMARC-i otsimine. Otsi üles domeeni sidn.nl DMARC-kirje (või oma domeeni oma). Kleebi kogu kirje ja täida, milline reegel (p=) seal kirjas on.

Ülesanne O4.5: Ise seadistamine oma harjutustsoonis. Harjutustsoonis saadad aruanded fikseeritud harjutusaadressile; oma päris domeeni puhul kasutad enda aadressi. Loo oma harjutustsoonis <code>.dnspractice.eu DMARC-kirje reegliga quarantine (või none, kui soovid alustada jälgimisest) ja aruannetega aadressile dmarc@dnspractice.eu (rua=mailto:dmarc@dnspractice.eu).

Rohkem lugemist

Nende artiklite sammud kehtivad WebOké paneelide kohta; teistes paneelides toimib see sarnaselt.

• Mis see on DMARC? Selgitus lihtsas keeles
• DirectAdmin juhend 5.9: DMARC seadistamine
• DMARC-kirje loomine DirectAdminis
• WebOké juhend 5.5: DNS-abimehed: MX, SPF, DMARC, CAA ja SRV
• Avalik e-posti kontroll (SPF, DMARC, MX): https://www.weboke.ee/e-posti-kontroll, ja internet.nl meilitest: https://internet.nl
• RFC 9989 (DMARC), RFC 9990 (aruanded); ajalooline RFC 7489