Strožja politika DMARC ne pomeni samodejno večje varnosti. Če zakonit pošiljatelj ni pravilno nastavljen, lahko njegova sporočila pristanejo v mapi z neželeno pošto prejemnikov ali pa jih zavrnejo. Zato se nastavitev zapisa DMARC začne s preverjanjem, zaostriti pa jo je vredno šele na podlagi zbranih podatkov. S pravim vrstnim redom zmanjšaš tveganje napačnih nastavitev e-pošte, hkrati pa domeno zaščitiš pred lažnimi sporočili, poslanimi v njenem imenu.

SPF preverja, kateri strežniki smejo pošiljati e-pošto v imenu tvoje domene. DKIM z digitalnim podpisom pomaga potrditi izvor sporočila, DMARC pa določa, kaj naj se zgodi, če se preverjanja ne ujemajo. Pred ustvarjanjem zapisa preglej nastavitve DNS domene in vse uporabljene storitve za pošiljanje e-pošte.

Vodnik prikaže, kako pripraviš nastavitve SPF in DKIM, kateri zapis TXT dodaš v cono DNS in kako preveriš rezultat. Spoznaš vlogo poročil in tudi, kdaj je smiselno z opazovalne politike preklopiti najprej na karanteno in nato na zavrnitev. Tako DMARC uvedeš pregledneje in zmanjšaš tveganje, da zakonita sporočila ne bi prišla do prejemnika.

Kaj je zapis DMARC in katero težavo rešuje pri e-poštni domeni?

Lahko se zgodi, da goljuf tvojo domeno navede kot pošiljatelja, čeprav sporočilo ne prihaja iz tvojega poštnega sistema. DMARC prejemnim poštnim sistemom pomaga preveriti takšna sporočila in slediti pravilu obravnave, ki ga je določil imetnik domene. Nastavitev se izvede z zapisom TXT, objavljenim v coni DNS domene.

Namen DMARC je, da na podlagi preverjanj SPF in DKIM ter poravnave domene pošiljatelja da navodila za obravnavo sporočil, katerih pristnost ni potrjena. Ime protokola izhaja iz izraza Domain-based Message Authentication. Povzetek Kaj je DMARC? daje več ozadja o njegovem delovanju ter povezavi s SPF in DKIM.

DMARC ni jamstvo za dostavo in sam po sebi ne zagotavlja popolne zaščite pred lažnim predstavljanjem. Protokol pomaga prepoznati, kdaj domena pošiljatelja sporočila ni usklajena z rezultati preverjanja pristnosti. Ponudnik prejemnika lahko na tej podlagi uporabi pravilo, navedeno v zapisu, vendar lahko na dostavo vplivajo tudi drugi dejavniki.

V čem se razlikujejo SPF, DKIM in DMARC?

Tri tehnologije se dopolnjujejo, vendar odgovarjajo na različna vprašanja:

• SPF: preverja, ali je strežnik, ki pošilja sporočilo, v zapisu SPF domene naveden kot dovoljen pošiljatelj.
• DKIM: s kriptografskim podpisom preverja, ali se podpisani deli sporočila ujemajo z javnim ključem pošiljateljeve domene.
• DMARC: ovrednoti rezultate preverjanj SPF in DKIM ter preveri, ali se domena vsaj enega uspešnega preverjanja ujema z domeno pošiljatelja, ki jo vidi prejemnik.

Preverjanje DMARC je torej lahko uspešno, če je SPF ali DKIM pravilno izpolnjen in se domena tega preverjanja ujema z domeno pošiljatelja.

Kdaj je treba nastaviti zapis DMARC?

DMARC je koristen tako pri poslovni e-pošti kot pri obvestilih obrazcev na spletni strani in sistemih za pošiljanje e-novic. Pred nastavitvijo zapisa DMARC preveri, kateri sistemi pošiljajo e-pošto v imenu tvoje domene. Poleg lastnih poštnih strežnikov upoštevaj tudi zunanje storitve.

Če deluje več virov pošiljanja, preveri nastavitve SPF in DKIM za vsakega. Stroga politika DMARC lahko prizadene tudi sporočila izpuščenega, a zakonitega sistema. Zapis je treba urejati v coni DNS, ki na imenskih strežnikih domene dejansko velja. cPanel je za to ustrezen vmesnik le, če je cono DNS te domene mogoče urejati tam.

Kateri predpogoji so potrebni pred nastavitvijo zapisa DMARC?

Uspešna uvedba DMARC se začne s pregledom sistemov za pošiljanje in nastavitev DNS. Preden spremeniš zapise domene, pripravi seznam vseh storitev, ki pošiljajo e-pošto v imenu tvoje domene. Izpuščen vir pošiljanja lahko pozneje povzroči napako pri preverjanju pristnosti in oteži ugotavljanje, ali je neuspešno preverjanje povezano z zakonitim ali neželenim sporočilom.

Na seznamu naj bodo poslovna e-pošta, obvestila obrazcev na spletni strani ter vsi zunanji sistemi za pošiljanje e-novic ali poslovanje. Zapiši, kateri naslov pošiljatelja uporablja katera storitev in kje so zanjo nastavitve preverjanja pristnosti. Tudi nastavitve e-poštnega gostovanja so povezane z zapisi DNS domene, zato upoštevaj dokumentacijo uporabljenega poštnega sistema.

Uradno ozadje protokola opisuje uradna specifikacija DMARC.org. Pri praktični pripravi je najpomembneje, da poznaš podatke SPF in DKIM svojih virov pošiljanja in veš, katero cono DNS moraš urejati.

Kako preveriš nastavitve SPF in DKIM?

V dokumentaciji vsakega ponudnika e-pošte in pošiljanja poišči zapis SPF, ki ga navaja, ter zapise in vrednosti, potrebne za DKIM. Nato jih primerjaj s podatki, ki so že v coni DNS. Ne ustvarjaj novega zapisa SPF in ne zamenjaj obstoječega, ne da bi pregledal, kaj je bilo prej. Ponavljajoči se ali nasprotujoči si vnosi lahko povzročijo težave.

Posebej preveri, ali so na seznamu spletna stran, poslovna e-pošta in vse zunanje platforme za pošiljanje. Če nastavitve storitve niso jasne, najprej preveri vodnik ali podporo tega ponudnika. Tako je manj verjetno, da bi zakonit pošiljatelj izpadel iz preverjanja pristnosti.

Kje je treba ustvariti zapis DNS DMARC?

Zapis moraš dodati v avtoritativno cono DNS, ki jo uporabljajo imenski strežniki, nastavljeni za domeno. Mesto registracije domene, spletno gostovanje in upravljanje DNS niso nujno ista storitev ali vmesnik. Najprej preveri, kje je dejansko mogoče spreminjati zapise domene.

V vmesniku gostovanja cPanel nastavitve DNS išči le, če je cono te domene res mogoče urejati tam. Obstoj cPanela sam po sebi ne pomeni, da je tam avtoritativna cona DNS. Natančen vmesnik je odvisen od nastavitev tvoje domene.

Katero politiko DMARC izbrati: none, quarantine ali reject?

Politika DMARC določa, kaj imetnik domene zahteva od prejemnih poštnih sistemov, če sporočilo ne prestane preverjanja DMARC. Pri postopni uvedbi običajno najprej poteka opazovanje, po preverjanju virov pošiljanja in rezultatov preverjanja pristnosti pa je mogoče pravilo zaostriti. Razlaga protokola DMARC daje več ozadja o delovanju.

Politika	Kaj zahteva od prejemnega sistema?	Za kaj jo lahko uporabiš?
p=none	Naj sporočila, ki ne prestane preverjanja DMARC, ne obravnava posebej.	Za opazovanje in pregled virov pošiljanja. Sama po sebi ne zahteva, da se sumljivo sporočilo da v karanteno ali zavrne.
p=quarantine	Naj sporočilo, ki ne prestane preverjanja, obravnava kot sumljivo, na primer ga premakne med neželeno pošto.	Za postopno uveljavljanje, ko si preveril preverjanje pristnosti zakonitih pošiljateljev.
p=reject	Naj zavrne sporočilo, ki ne prestane preverjanja DMARC.	Za strožje uveljavljanje, ko so nastavitve zakonitih virov pošiljanja že urejene.

Politika daje navodila prejemnikovemu poštnemu sistemu, sporočila pa v tvojem sistemu neposredno ne briše ali premika. Uporaba pri ponudniku prejemnika se lahko razlikuje. p=none je lahko koristno začetno stanje, vendar ga ne štej za končno nastavitev zaščite: ne zahteva, da se lažna ali napačno preverjena sporočila dajo v karanteno ali zavrnejo. Za prejemanje in analizo poročil potrebuješ v zapisu tudi ustrezno nastavitev poročanja.

Kdaj je varno preklopiti na strožjo politiko?

Ne zaostruj le po koledarju. Najprej preglej poročila DMARC in ugotovi, kateri sistemi pošiljajo zakonito e-pošto v imenu tvoje domene. Če pri znanem viru pošiljanja preverjanje ne uspe, preveri poravnavo SPF in DKIM ter popravi nastavitev, preden preklopiš na strožje pravilo.

Politiko DMARC zaostri šele po preverjanju poročil in virov pošiljanja. S tem zmanjšaš tveganje, da bi tudi zakonita sporočila pristala v karanteni ali bila zavrnjena. Če še ni jasno, katera storitev je poslala sporočilo ali zakaj preverjanje pristnosti ni uspelo, ostani v fazi opazovanja in pred spremembo razjasni podatke. Nastavitev zapisa DMARC postane dejansko uveljavljanje, ko je pristnost vseh zakonitih pošiljateljev ustrezno preverjena.

Nastavitev zapisa DMARC po korakih v upravitelju DNS

Ko že poznaš sisteme, ki pošiljajo e-pošto s tvoje domene, in si preveril njihove nastavitve SPF in DKIM, lahko dodaš zapis TXT. Vnos moraš ustvariti v avtoritativni coni DNS domene. Imena polj vmesnika se lahko pri ponudnikih razlikujejo, zato pred shranjevanjem preveri, ali sta ime in vrednost zapisa v pravem polju.

Video: DMARC Policy Explained: p=none, p=quarantine, p=reject (PowerDMARC, v angleščini)

Katere podatke naj vsebuje zapis TXT DMARC?

V zapisu v=DMARC1 označuje različico DMARC, p= pa politiko, ki ji morajo prejemni sistemi slediti pri sporočilih, ki ne prestanejo preverjanja. Za začetek lahko uporabiš p=none, ki zahteva opazovanje. Oznaka rua navede naslov za prejemanje zbirnih poročil DMARC. Izberi poštni predal, ki ga redno pregledujete ti ali sodelavec, odgovoren za nastavitve.

Spodnji primer je zgolj ponazoritev, ne dejanski zapis aWh. Namesto example.hu vpiši svojo domeno, namesto naslova za poročila pa delujoč poštni predal.

v=DMARC1; p=none; rua=mailto:dmarc-riport@example.hu

Kako dodaš zapis?

1. Odpri avtoritativno cono DNS. Prijavi se v upravitelja DNS pri ponudniku, ki upravlja zapise, povezane z imenskimi strežniki domene.
2. Ustvari nov zapis TXT. Ime zapisa ali polje gostitelja je običajno _dmarc. Nekateri vmesniki ime domene dodajo samodejno, drugi zahtevajo celotno ime. Sledi navodilom vmesnika, da domena ne bo vpisana dvakrat.
3. Vnesi vrednost zapisa. Prilepi izbrane podatke DMARC, na primer zgornji vzorec z opazovalno politiko. Naslov za poročila navedi le, če lahko res sprejema sporočila.
4. Shrani spremembo. Preveri ime, vrsto TXT in celotno vrednost, nato zapis shrani.
5. Preveri objavljeni vnos. Poizvedi po imenu _dmarc v avtoritativni coni DNS in preveri, ali je ustvarjeni zapis TXT berljiv.

Čas osvežitve DNS je odvisen od nastavitev ponudnika, zato ne štej za napako, če se zapis ne prikaže takoj v vseh orodjih za preverjanje. Pri poizvedbi preveri tudi sintakso, podpičja in morebitne podvojene vnose DMARC. Prikaz narekovajev se lahko razlikuje od vmesnika do vmesnika. Ne dodajaj jih ročno, če vmesnik vrednost TXT oblikuje samodejno.

Vidnost zapisa še ne dokazuje, da je pristnost vseh zakonitih virov pošiljanja ustrezno preverjena. Preden preklopiš na strožjo politiko, analiziraj poročila in rezultate zakonitih sporočil. Če je cono DNS tvoje domene mogoče upravljati v cPanelu, spoznaj gostovanje cPanel in preveri možnosti upravljanja DNS, ki so na voljo v tvojem računu.

Iskanje napak in zaščita e-pošte: kaj storiti po nastavitvi?

Po objavi zapisa DMARC preveri, ali preverjanje pristnosti sporočil tudi v praksi ustreza nastavitvam. Če zakonito sporočilo pristane v karanteni ali je zavrnjeno, ne spremeni takoj politike. Primerjaj zapis, objavljen v DNS, rezultate poročil DMARC in navodila prizadetega ponudnika pošiljanja.

Zakaj lahko zakonita sporočila pristanejo v karanteni ali so zavrnjena?

Preverjanje DMARC je lahko neuspešno tudi, če je SPF ali DKIM sam po sebi uspešen, vendar se domena, uporabljena za preverjanje, ne ujema z domeno, vidno v naslovu pošiljatelja. To se lahko zgodi pri zunanjem pošiljatelju e-novic, obrazcu na spletni strani ali samodejnih obvestilih, če pot pošiljanja in zapisi za preverjanje pristnosti niso usklajeni.

Na podlagi poročil in podatkov ponudnika poišči vir neuspešnih preverjanj. Nato preveri ustrezne zapise SPF in DKIM, uporabljeno domeno pošiljatelja in prek katerega sistema sporočilo dejansko odide.

• Manjkajoči pošiljatelj: nov ali prej izpuščen poštni sistem, sistem obrazcev ali obvestil dodaj na seznam, nato preveri njegove zahteve za preverjanje pristnosti.
• Napačna sintaksa: preglej vrednost zapisa, ločevanje oznak in ime zapisa, vneseno v upravitelju DNS.
• Podvojen zapis: preveri, ali pod imenom _dmarc ni več zapisov TXT DMARC. Namesto podvojenih vnosov potrebuješ en veljaven zapis.

Po popravku znova poizvedi po nastavitvi DNS, nato v poročilih preveri rezultate prizadetega pošiljatelja. Politiko zaostri šele, ko sta preverjanje pristnosti in poravnava domen zakonitih virov pošiljanja razjasnjena.

Napredne nastavitve in posebni primeri

Zapis lahko poleg v in p vsebuje še druge, izbirne oznake:

• rua: naslov za zbirna poročila. Poročila prihajajo od velikih poštnih sistemov vsak dan v obliki XML; pri velikem prometu je vredno navesti naslov storitve za analizo poročil, saj jih je ročno težko obdelati.
• sp: politika za poddomene, če se razlikuje od politike glavne domene (na primer sp=reject, če s poddomen nikoli ne pošiljaš e-pošte).
• adkim in aspf: strogost poravnave. Pri privzeti ohlapni (r) nastavitvi se z glavno domeno ujema tudi sporočilo, podpisano s poddomene, pri strogi (s) pa le natanko ista domena. V večini primerov je ohlapna poravnava prava izbira.
• pct: politiko uporabi le za del napačnih sporočil (na primer p=quarantine; pct=25). Koristno pri postopni uvedbi zaostritve.

Domene, ki ne pošiljajo e-pošte. Če z domene (na primer domene, registrirane za zaščito blagovne znamke, ali parkirane domene) nikoli ne pošiljaš e-pošte, jo lahko goljufi kljub temu zlorabijo. Za takšno domeno nastavi zapis SPF v=spf1 -all in zapis DMARC v=DMARC1; p=reject;, tako prejemniki zavrnejo sporočila, poslana v njenem imenu.

Zahteve velikih poštnih sistemov. Google in Yahoo od februarja 2024, Microsoft (Outlook.com) pa od maja 2025 od pošiljateljev, ki pošiljajo veliko sporočil, pričakujejo SPF, DKIM in zapis DMARC s politiko vsaj p=none, sporočila brez preverjanja pristnosti pa tudi pri manjših pošiljateljih vse pogosteje pristanejo med neželeno pošto ali so zavrnjena. Nastavitev DMARC torej izboljša tudi dostavo tvojih lastnih sporočil. O širšem okviru zaščite pred lažnim predstavljanjem govori naš vodnik o phishingu.

BIMI. Če domena uporablja politiko p=quarantine ali p=reject, se lahko s standardom BIMI v nekaterih poštnih sistemih ob sporočilih prikaže tudi logotip podjetja (za to je večinoma potrebno tudi posebno potrdilo, izdano za logotip).

Preverjanje pristnosti v DNS in e-poštno gostovanje sta ločeni nalogi

Zapisi DNS določajo, kako lahko prejemni sistemi preverijo sporočila, poslana s tvoje domene. E-poštno gostovanje pa zagotavlja storitveno zaledje za e-poštne račune in pošiljanje sporočil. Področji sta povezani, vendar nista isto: zapis DMARC je treba upravljati v avtoritativni coni DNS domene, od ponudnika pošiljanja pa moraš izvedeti nastavitve SPF in DKIM.

Če izbiraš e-poštno storitev ali preverjaš obstoječe nastavitve, si oglej rešitve e-poštnega gostovanja aWh in potrebne podatke za preverjanje pristnosti uskladi z upraviteljem DNS svoje domene.

Uvedi zaščito DMARC s preverjenimi koraki

Varna nastavitev zapisa DMARC se ne konča s shranitvijo zapisa TXT. Najprej popiši vse sisteme za pošiljanje e-pošte, nato preveri preverjanje pristnosti SPF in DKIM. Potem spremljaj poročila DMARC, popravi napake, najdene pri zakonitih pošiljateljih, in na strožjo politiko preklopi le na podlagi preverjenih rezultatov. Tako zmanjšaš tveganje, da bi zaščita prizadela tudi tvoja lastna, pravilno poslana sporočila.

Preverjanje pristnosti v DNS in e-poštna storitev sta povezana, a ločena naloga. Zapis je treba objaviti in preveriti v pravi coni DNS, pri tem pa upoštevati tudi nastavitve uporabljenih ponudnikov e-pošte. Pri izbiri ponudnika je vredno poiskati rešitev, ki ustreza tvojim potrebam glede e-pošte.

Na gostovanjih cPanel pri aWh SPF in DKIM nastaviš z nekaj kliki v točki menija Email Deliverability, zapis DMARC pa dodaš v Zone Editorju. Oglej si rešitve e-poštnega gostovanja aWh in preveri, katere nastavitve potrebuje tvoja domena. S premišljeno pripravo in stalnim preverjanjem lahko korak za korakom vzpostaviš preglednejšo zaščito e-pošte.

Pogosta vprašanja o zapisu DMARC

Kaj je zapis DMARC?

Zapis DMARC je pravilo za preverjanje pristnosti e-pošte, ki pripada domeni in se objavi v DNS kot zapis TXT. Prejemni poštni sistemi upoštevajo rezultat preverjanj SPF in DKIM ter ujemanje preverjene domene z domeno pošiljatelja. Zapis sporoča tudi, kako naj obravnavajo sporočila, ki ne prestanejo preverjanja. Sam po sebi ne zagotavlja dostave, za delovanje pa potrebuje ustrezne nastavitve SPF in DKIM.

Kako je treba nastaviti zapis DMARC?

Pred nastavitvijo zapisa DMARC popiši vse sisteme, ki pošiljajo e-pošto v imenu tvoje domene, nato preveri nastavitve SPF in DKIM. Nato poišči avtoritativno cono DNS domene in dodaj zapis TXT za ime _dmarc. V vrednosti navedi različico protokola in izbrano politiko. Po shranjevanju preveri objavljeni zapis, nato spremljaj poročila.

Kje je treba ustvariti zapis TXT DMARC?

Zapis moraš ustvariti pri ponudniku DNS, ki upravlja avtoritativno cono DNS domene. To ni nujno isti ponudnik kot pri registraciji domene, spletnem gostovanju ali e-poštnih računih. Najprej preveri, katere imenske strežnike uporablja domena, nato v pripadajočem vmesniku poišči cono DNS. Tam ustvari zapis TXT za ime _dmarc.

Kakšna je razlika med p=none in p=reject?

p=none je namenjen opazovanju. Z njim lahko zbiraš informacije o rezultatih DMARC, vendar ta politika ne zahteva, da se sporočila, ki ne prestanejo preverjanja, dajo v karanteno ali zavrnejo. p=reject je strožje pravilo: od prejemnega sistema zahteva, da zavrne sporočila, ki ne prestanejo preverjanja DMARC. Pred preklopom se prepričaj, da so vsi zakoniti viri pošiljanja znani in ustrezno preverjeni.

Ali sta za nastavitev DMARC potrebna zapisa SPF in DKIM?

Da, DMARC se opira na rezultate preverjanj SPF in DKIM. Najprej popiši poslovno e-pošto, obvestila spletne strani in zunanje sisteme za pošiljanje, nato preveri njihove nastavitve. Zgolj obstoj zapisa ne zadošča: pot pošiljanja in preverjena domena se morata ustrezno ujemati tudi z domeno pošiljatelja. Podrobnosti preveri v vodniku vsakega ponudnika pošiljanja.

Zakaj se zapis DMARC ne prikaže ali ne deluje?

Pogost vzrok so napačno ime zapisa, tipkarska napaka v vrednosti TXT, napačna cona DNS ali večkrat ustvarjen zapis DMARC. Preveri, ali je na avtoritativnih imenskih strežnikih domene za ime _dmarc vidna pričakovana vrednost TXT in ali pod istim imenom ni drugega vnosa DMARC. Čas osvežitve DNS je odvisen od nastavitev ponudnika. V poročilih preveri tudi rezultate SPF in DKIM.

Kaj pomenijo poročila DMARC in kaj naj naredim z njimi?

Poročila DMARC lahko dajo zbirne podatke o tem, kateri sistemi pošiljajo e-pošto v imenu tvoje domene in kako se odrežejo pri preverjanjih pristnosti. Najprej prepoznaj zakonite pošiljatelje, nato primerjaj rezultate z nastavitvami SPF in DKIM ter s podatki, ki jih navajajo ponudniki. Popravi odkrite napake in šele nato razmisli o zaostritvi politike. Vidnost zapisa sama po sebi ne dokazuje, da vse pošiljanje deluje pravilno.

• dostava e-pošte
• dns
• vodniki
• preverjanje pristnosti