DMARC

Was geprüft

Gesucht wird der DMARC-Eintrag nach RFC 9989 (Internet-Standard für DMARC): zuerst unter _dmarc der geprüften Domain, sonst schrittweise bei übergeordneten Namen. Mehrere Einträge an einem Namen werden verworfen; bleibt danach kein gültiger Eintrag übrig, ist der Punkt auffällig (Mittel). Keine DMARC-Verarbeitung findet nur statt, wenn beides fehlt: eine gültige Richtlinie (p, sp, np) und eine gültige Berichtsadresse (rua); dann ist der Punkt auffällig (Mittel). Fehlt nur die gültige Richtlinie, gilt wegen der gültigen Berichtsadresse p=none. Kleinere Formfehler machen den Punkt auffällig (Niedrig): rua ohne „mailto:“ sowie ungültige Werte von t und psd. Das entfallene pct wird nur als Hinweis genannt.

Wie relevant

Zählt nicht zum Gesamtwert: Die Kategorie DNS und Technologien fließt nicht in die Wertung ein. Ein wirkungsloser Eintrag wird trotzdem als auffälliger Punkt (Mittel) markiert, kleinere Formfehler als auffälliger Punkt (Niedrig), weil die Richtlinie dann trotzdem angewendet wird. Ein fehlender Eintrag erscheint als Information.

Warum

Kommen Ihre Mails an, und kann jemand in Ihrem Namen senden? DMARC sagt empfangenden Servern, wie sie mit Mails umgehen sollen, die SPF und DKIM nicht bestehen, und schickt Berichte darüber an die Domain. Große Postfachanbieter erwarten DMARC von Absendern mit vielen Mails.

Wie beheben

Beginnen Sie mit p=none und einer Berichtsadresse (rua), werten Sie die Berichte einige Wochen aus und stellen Sie danach schrittweise auf p=quarantine und p=reject um. Für eine Testphase dient t=y; das frühere pct ist mit RFC 9989 entfallen.

Nebenwirkung: p=quarantine oder p=reject lässt echte Mails in den Spam oder in die Ablehnung laufen, wenn ein Absender noch nicht über SPF oder DKIM zur Domain passt. Stellen Sie erst um, wenn die Berichte keine legitimen Absender mehr mit Fehlern zeigen. Liegt die Berichtsadresse bei einer anderen Domain, erlaubt diese den Empfang nur mit einem eigenen Freigabe-Eintrag.

Codebeispiel

DNS-Eintrag (TXT) — Start

_dmarc.beispiel.de.  3600  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@beispiel.de"

DNS-Eintrag (TXT) — nach Auswertung der Berichte

_dmarc.beispiel.de.  3600  IN  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@beispiel.de"

Weiterführende Quellen

• https://www.rfc-editor.org/rfc/rfc9989.html