DMARC: ce trebuie să facă destinatarii cu e-mailurile false

Modulul 4: Înregistrări pentru e-mail · Timp de citire: 10 minute

Obiectiv de învățare: După această lecție veți putea explica modul în care DMARC combină SPF și DKIM, veți putea crea o înregistrare DMARC validă și veți putea înăspri politica pas cu pas.

Concepte-cheie: DMARC, _dmarc, v=DMARC1, politica p=none / quarantine / reject, aliniere (alignment), rapoarte rua, sp= și np=, modul de testare t=, o singură înregistrare DMARC

Piesa lipsă

SPF (lecția 4.3) verifică de la ce server provine un e-mail, dar se uită la adresa tehnică de plic (envelope). DKIM (lecția 4.4) verifică o semnătură, dar aceasta poate aparține oricărui domeniu. Un escroc poate astfel trimite un e-mail cu "De la: info@example.com" care trece cu bine de SPF pentru propriul său domeniu și este semnat corect de propriul său domeniu.

DMARC (Domain-based Message Authentication, Reporting and Conformance) închide acest cerc. Pune o singură întrebare: aparține verificarea SPF sau DKIM reușită domeniului pe care destinatarul îl vede în adresa "De la:"? Aceasta se numește aliniere (alignment). Și le spuneți destinatarilor ce trebuie să facă dacă răspunsul este nu.

DMARC a fost descris în 2015 în RFC 7489. În mai 2026 a apărut versiunea revizuită ca standard oficial de internet: RFC 9989 (împreună cu RFC 9990 și 9991 pentru rapoarte). Înregistrările existente cu v=DMARC1 rămân valabile.

Cum decide un destinatar

Dacă sosește un e-mail cu expeditorul info@example.com, destinatarul procedează astfel:

1. SPF: provine e-mailul de la un server autorizat și aparține domeniul de plic domeniului example.com?
2. DKIM: există o semnătură validă și aparține domeniul care semnează (d=) domeniului example.com?
3. DMARC: a reușit cel puțin una dintre cele două verificări și este aliniată? Atunci e-mailul este în regulă. Dacă nu, destinatarul urmează politica dumneavoastră.

Este suficient ca una dintre cele două verificări să reușească. De aceea DKIM este atât de important pentru serviciile care trimit e-mailuri cu propria adresă de plic, cum sunt multe servicii de newsletter: acolo SPF reușește, dar nu pentru domeniul dumneavoastră. Doar o semnătură DKIM cu d=example.com face atunci ca totul să fie în regulă.

"Aparține" înseamnă implicit: același domeniu organizațional. nieuws.example.com aparține domeniului example.com. Aceasta se numește aliniere relaxată (relaxed). Cu adkim=s sau aspf=s (strict) trebuie să fie exact același domeniu. Pentru aproape toată lumea, alinierea relaxată este suficientă.

Cum arată o înregistrare DMARC?

O înregistrare DMARC este o înregistrare TXT la numele _dmarc al domeniului dumneavoastră:

_dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

Este alcătuită din părți (tag-uri) separate prin punct și virgulă.

Alegerea politicii

Ordine recomandată:

1. Mai întâi puneți la punct SPF și DKIM, pentru toate serviciile care trimit e-mailuri în numele dumneavoastră: furnizorul de e-mail, site-ul web, serviciul de newsletter, programul de contabilitate, magazinul online.
2. Începeți cu p=none și o adresă rua. Urmăriți câteva săptămâni în rapoarte care servicii trimit e-mailuri în numele domeniului dumneavoastră și dacă acestea reușesc verificarea.
3. Treceți la p=quarantine, iar dacă totul continuă să funcționeze bine, treceți la p=reject.

Dacă nu sunteți sigur că toate serviciile dumneavoastră sunt configurate corect, nu treceți imediat la reject. Un serviciu uitat (de exemplu programul care trimite facturile) ar putea să nu mai ajungă la destinatari.

Unii furnizori de găzduire configurează din start, la un pachet nou, o înregistrare DMARC strictă (p=reject). Acest lucru este sigur atât timp cât toate e-mailurile dumneavoastră trec prin serverele lor. Dacă trimiteți e-mailuri și prin alte servicii, verificați mai întâi SPF și DKIM ale acelor servicii.

Rapoarte

Cu rua=mailto:dmarc@example.com primiți zilnic, de la destinatarii mari, o sinteză (un fișier XML) despre cine a trimis e-mailuri în numele domeniului dumneavoastră și dacă acestea au reușit verificarea. Util, dar tehnic. Folosiți o adresă separată pentru aceasta; veți primi rapid câteva rapoarte pe zi. Există servicii care fac rapoartele lizibile.

Dacă trimiteți rapoartele către o adresă de pe un alt domeniu (de exemplu un serviciu de raportare), acel alt domeniu trebuie să ofere permisiunea în DNS-ul său. Serviciul rezolvă de obicei acest lucru singur.

Greșeli frecvente

• Două înregistrări DMARC. Poate exista doar una la _dmarc. La două înregistrări, destinatarul se comportă ca și cum nu ați avea deloc DMARC. Modificați înregistrarea existentă.
• La numele greșit. Înregistrarea aparține la _dmarc.example.com, nu la example.com propriu-zis.
• Greșeli de tastare în tag-uri. p=reject funcționează, p=rejected sau policy=reject nu. Fără un p= valid, înregistrarea este considerată p=none.
• Activarea DMARC înainte ca SPF și DKIM să fie corecte. Atunci vă refuzați propriile e-mailuri.
• Verificarea prea rapidă după o modificare. O înregistrare DMARC are uneori un TTL lung (de exemplu patru ore). După o modificare, mai vedeți încă puțin timp vechea înregistrare.

De ce contează

Din februarie 2024, Gmail și Yahoo cer de la expeditorii unor volume mari de e-mailuri (mai mult de aproximativ 5.000 pe zi) o înregistrare DMARC, cel puțin cu p=none, și ca SPF sau DKIM să reușească aliniat. Microsoft cere același lucru din mai 2025 pentru Outlook.com și Hotmail. Și pentru expeditorii mici, DMARC îmbunătățește livrarea și vă protejează clienții împotriva facturilor false emise în numele dumneavoastră.

În practică: cum arată într-un panou

În acest exemplu folosim DirectAdmin. În DNS Administration faceți clic pe creionul din dreptul înregistrării TXT _dmarc, sau creați o înregistrare TXT nouă cu numele _dmarc și alegeți la TXT Record Type opțiunea DMARC. La Domain policy type alegeți None, Quarantine sau Reject; la Aggregate Email (RUA) completați, dacă doriți, o adresă de raportare. Contul meu WebOké are un asistent DMARC similar în fila DNS.

Dacă panoul dumneavoastră nu are un asistent, creați o înregistrare TXT obișnuită la _dmarc și introduceți textul manual. Rezultatul este același.

Rezumat

• DMARC verifică dacă SPF sau DKIM reușesc pentru domeniul din adresa "De la:" (aliniere).
• Înregistrarea se află la _dmarc.<domeniu>, începe cu v=DMARC1 și are o politică p=none, quarantine sau reject.
• Mai întâi SPF și DKIM pentru toate serviciile, apoi p=none cu rapoarte, apoi înăsprirea treptată.
• Exact o singură înregistrare DMARC per domeniu.

Quiz

Exercițiu

Exercițiul Z4.5: Căutarea unei înregistrări DMARC. Căutați înregistrarea DMARC a domeniului sidn.nl (website-ul SIDN, registrul domeniului .nl în Olanda) (sau a propriului dumneavoastră domeniu). Lipiți înregistrarea completă și precizați ce politică (p=) apare.

Exercițiul O4.5: Configurare proprie în zona de exersare. În zona de exersare trimiteți rapoartele către o adresă de exersare fixă; la domeniul dumneavoastră real folosiți o adresă proprie. Creați în zona dumneavoastră de exersare <code>.dnspractice.eu o înregistrare DMARC cu politica quarantine (sau none dacă doriți să începeți cu monitorizarea) și rapoarte către dmarc@dnspractice.eu (rua=mailto:dmarc@dnspractice.eu).

Pentru aprofundare

Pașii din aceste articole sunt valabili pentru panourile WebOké; în alte panouri funcționează similar.

• Ce este DMARC? Explicație pe înțelesul tuturor
• Manual DirectAdmin 5.9: DMARC instelarea
• Crearea unei înregistrări DMARC în DirectAdmin
• Manual WebOké 5.5: Asistenți DNS: MX, SPF, DMARC, CAA și SRV
• Verificare publică de e-mail (SPF, DMARC, MX): https://www.weboke.ro/verificare-email, și testul de e-mail de pe internet.nl: https://internet.nl
• RFC 9989 (DMARC), RFC 9990 (rapoarte); istoric RFC 7489