DMARC kasutuselevõtt: p=none'ist p=reject'ini

Moodul 4: Kohaletoimetatavus: SPF, DKIM ja DMARC praktikas · Lugemisaeg: 12 minutit

Õpieesmärk: Pärast seda tundi oskad selgitada, kuidas joondus (alignment) töötab, planeerida DMARC kasutuselevõttu etappide kaupa p=none'ist p=reject'ini, valida õiged sildid (rua, sp, np, t) ja tulla toime tuntud lõksudega suunamisel ning meililistide puhul.

Põhimõisted: DMARC (RFC 9989), Author Domain (domeen Kust-väljal), joondus (alignment), relaxed ja strict (adkim, aspf), organisatsiooni domeen, DNS tree walk, p=none, p=quarantine, p=reject, rua, sp, np, t=y (testrežiim), aegunud sildid pct, rf, ri, meililistid, From ümberkirjutamine, ARC

Mida DMARC täpselt kontrollib

DMARC vastab igale saabuvale kirjale ühele küsimusele: kas SPF või DKIM õnnestus domeeni jaoks, mis kuulub Kust-aadressi juurde? Kust-aadressil olevat domeeni nimetatakse standardis Author Domain'iks. Kirje alused on kirjeldatud DNS-kursuse tunnis 4.5. 2026. aasta mais ilmus uuendatud standard: RFC 9989, koos RFC 9990-ga koondaruannete jaoks ja RFC 9991-ga veaaruannete jaoks. Olemasolevad kirjed väärtusega v=DMARC1 jäävad kehtima.

Joondus praktikas

"Kuulub juurde" tähendab joondust (alignment). Selleks on kaks režiimi:

• relaxed (vaikimisi): domeenidel on sama organisatsiooni domeen. nieuws.example.com ja example.com on joondatud; example.com ja example.net ei ole.
• strict (adkim=s või aspf=s): domeenid peavad olema täpselt ühesugused.

SPF puhul võrdleb DMARC Return-Path domeeni Kust-domeeniga. DKIM puhul kehtiva allkirja d=-domeeni. Mõned näited kirja kohta, millel on Kust: info@example.com:

Jäta adkim ja aspf relaxed režiimi, kui sul pole head põhjust teisiti teha.

Kuidas teab vastuvõtja, mis on organisatsiooni domeen? Varem kasutati selleks Public Suffix List'i, nimekirja domeenidest nagu .nl, .co.uk ja github.io. RFC 9989 asendab selle DNS tree walk'iga: vastuvõtja otsib üles _dmarc kirjed domeenile endale ja selle ülemdomeenidele. Tavakasutaja jaoks ei muutu midagi; selle märkad ainult siis, kui töötad alamdomeenide kirjetega.

Kasutuselevõtt neljas etapis

Eesmärk on p=reject: siis keelduvad vastuvõtjad kirjadest, mis esinevad sinu nime all, ja see on parim kaitse valearvete ning sinu nimel tehtava andmepüügi vastu. Aga kes läheb kohe reject-režiimile, tundmata oma saatjaid, hakkab varsti tagasi lükkama ka oma enda arveid. Seepärast soovitame seda järjekorda:

Etapp 0: ettevalmistus

• Koosta kõigi oma saatjate nimekiri (tund 4.2).
• Veendu, et igal saatjal oleks joondatud SPF või DKIM; eelistatavalt DKIM, sest see jääb kehtima ka suunamisel.
• Loo aruannete jaoks eraldi aadress, näiteks dmarc@example.com, või kasuta aruandeteenust. Peagi hakkad saama mitu aruannet päevas.

Etapp 1: mõõtmine režiimiga p=none

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

p=none ei tee kirjaga midagi. Vastuvõtjad toimetavad kõik kohale nagu tavaliselt, aga saadavad sulle iga päev koondaruande (aggregate report), kus on kirjas iga server, mis sinu domeeni nimel kirju saatis, ning kas SPF, DKIM ja DMARC õnnestusid. Nii täidad ka Gmaili, Yahoo ja Microsofti minimaalse nõude massisaatjatele (tund 5.3).

Hoia seda nii vähemalt kaks kuni neli nädalat, kauem kui sul on teenuseid, mis saadavad kirju harva (aastane meeldetuletus, kvartaalne arve). Loe aruandeid (tund 4.5) ja paranda iga oma allikas, mis ebaõnnestub.

Etapp 2: p=quarantine

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

Kiri, mis DMARC-kontrolli ei läbi, läheb vastuvõtja juures rämpspostikausta. Kui unustad siiski mõne allika, ei kao see kiri, aga seda on raske leida. Kui tahad olla ettevaatlik, lisa kõigepealt t=y (testrežiim): vastuvõtjad rakendavad siis ühe sammu leebemat reeglistikku (quarantine puhul seega none), aga aruannetest näed, mis juhtuks. See on RFC 9989's vana sildi pct= asendaja.

Vaata jälle paar nädalat aruandeid.

Etapp 3: p=reject

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@example.com"

Kiri, mis DMARC-kontrolli ei läbi, lükatakse tagasi. Saatja saab tagasitulnud kirja, Microsofti puhul näiteks koodiga 5.7.509 ja Gmaili puhul viitega DMARC-reeglistikule (moodul 6). Jälgi aruandeid edasi: uusi teenuseid lisandub alati.

Millal võib kiiremini minna?

Kui kogu sinu kiri läbib ühte teenusepakkujat, kes korraldab sinu eest SPF ja DKIM, ja miski muu ei saada midagi sinu domeeni nimel, siis võib range reeglistiku kehtestada kohe. Mõned majutusettevõtted panevad seetõttu vaikimisi p=reject. Kui hakkad hiljem siiski kasutama uudiskirjateenust või raamatupidamisprogrammi, pane see ajutiselt tagasi p=none'ile koos aruandeaadressiga, kuni see teenus korralikult toimib.

Teised sildid

Aruandeaadress teisel domeenil (näiteks aruandeteenuse oma) töötab ainult siis, kui see domeen annab loa kirjega nagu example.com._report._dmarc.rapportdienst.example. Teenus korraldab selle tavaliselt ise (RFC 9990, 4. peatükk).

Lõksud

Meililistid

Klassikaline meililist saadab sinu kirja edasi kõigile liikmetele oma serverist ning lisab tihti teemareale [lijst] või lisab allkirja. Siis ebaõnnestub SPF (teine server) ja DKIM (kiri muudetud). Režiimiga p=reject lükkavad vastuvõtjad sinu kirja listi juures tagasi. Kaasaegne listitarkvara lahendab selle Kust-aadressi ümberkirjutamisega listi aadressiks ("Jan via Leden"), või suunab kirja muutmata kujul edasi. Kui kasutad listi, mis seda ei tee, näed seda oma aruannetes.

Suunamine

Vt tund 3.3: SPF katkeb, DKIM enamasti jääb kehtima. Vastuvõtja saab ARC abil otsustada usaldada tuntud suunajat. Aruannetes tunned selle ära kirjana tundmatust serverist, millel on DKIM pass ja SPF fail; see ei ole põhjus oma reeglistikku leebemaks muuta.

Kaks kirjet või kirjaviga

Kaks DMARC-kirjet _dmarc all muudavad reeglistiku kehtetuks, ja kirjaviga p= väärtuses samuti (p=rejected ei ole olemas). Kontrolli igale muudatusele järgnevalt.

Praktikas: kuidas see näeb välja paneelis

WebOké majutuspaketil on vaikimisi v=DMARC1;p=reject, ilma aruandeaadressita. See on turvaline, kui kogu sinu kiri läbib neid servereid. Kui saadad kirju ka muude teenuste kaudu, pane see p=none'ile koos rua-aadressiga ja läbi etapid. DirectAdminis teed seda DNS Administration all, klõpsates pliiatsiikoonil _dmarc kirje juures (väljad Domain policy type ja Aggregate Email (RUA)); Minu WebOké's DMARC-abi kaudu DNS-vahekaardil. Teiste teenusepakkujate juures loo TXT-kirje nimele _dmarc ja sisesta tekst ise; tulemus on sama.

Kokkuvõte

• DMARC õnnestub, kui SPF või DKIM õnnestub domeeni jaoks, mis on joondatud Kust-domeeniga; relaxed joondus aktsepteerib alamdomeene.
• Kasutuselevõtt: koosta nimekiri, p=none koos rua'ga ja loe aruandeid, p=quarantine (vajadusel koos t=y'ga), ja seejärel p=reject.
• Kasuta np=reject mitteeksisteerivate alamdomeenide jaoks niipea kui põhireeglistik on range. pct, rf ja ri on aegunud.
• Meililistid ja suunamine annavad eeldatavaid vigu; DKIM ja ARC leevendavad osa neist.
• Täpselt üks kirje _dmarc all, ilma kirjavigadeta.

Test

Ülesanne

Ülesanne Z4.4: Oma domeeni DMARC kontrollimine ja järgmise sammu valimine. Sisesta oma domeen (või internet.nl). Sisesta DMARC-kirje nii, nagu sa selle leidsid, p= väärtus ja kas sellel on rua-aadress. Seejärel vali, millist etappi pead kasutuselevõtu järgmiseks sammuks, ja miks. Programm pärib kirje reaalajas, kontrollib süntaksit vastavalt RFC 9989'le (üks kirje, kehtiv p, tuntud sildid, aegunud sildid hoiatusena) ja paneb sinu vastused selle kõrvale.

Lisalugemine

Nende artiklite sammud kehtivad WebOké paneelide kohta; teiste teenusepakkujate juures töötab see sarnaselt.

• Tasuta DNS-kursus 4.5: DMARC: mida vastuvõtjad peavad tegema võltspostiga
• DirectAdmin juhend 5.9: DMARC seadistamine
• Mis see on DMARC? Selgitus lihtsas keeles
• DMARC-kirje loomine DirectAdminis
• RFC 9989 (DMARC), eriti 4.7 (sildid) ja lisa C (muudatused alates RFC 7489'st)