Jak sprawdzić poprawność rekordu DMARC na mojej domenie?

Odpytaj TXT na _dmarc lub skorzystaj z naszego darmowego narzędzia do weryfikacji domeny DMARC Checkera ActiveDMARC : zobaczysz tagi, skuteczne p / pct oraz typowe problemy. Jeśli wprowadzisz jakieś zmiany w DNS, odczekaj od kilku minut do nawet 48h na propagację i zweryfikuj ponownie.

Co się stanie, jeśli DMARC nie zostanie włączony?

Bez rekordu DMARC odbiorcy nie mają spójnej polityki dla maili, które nie potwierdzają Twojego From. Łatwiej o spoofing marki, a Ty nie dostajesz RUA do inwentaryzacji źródeł. Brak DMARC utrudnia też spełnienie oczekiwań bulk-senderów (Google/Yahoo), które wymagają opublikowanego rekordu.

Jak zarządzać przejściem DMARC w praktyce?

Używaj checkerów ActiveDMARC do walidacji DNS, utrzymuj tag rua , czytaj agregaty przy realnej wysyłce i zaostrzaj p= / pct dopiero przy czystym raporcie. Nie polegaj na sztywnym kalendarzu. Polegaj na danych z raportów i wolumenie poczty.

Czym różni się DMARC od SPF i DKIM?

SPF autoryzuje IP względem koperty, DKIM podpisuje wiadomość, a DMARC egzekwuje politykę względem From, gdy żadne z tych sprawdzeń nie potwierdza domeny From. SPF i DKIM dostarczają sygnały; DMARC decyduje o dyspozycji ( none / quarantine / reject ) i raportowaniu.

Czy DMARC jest wymagany dla Gmail i Microsoft 365?

Dla nadawców masowych Google i Yahoo wymagają SPF, DKIM i rekordu DMARC (często wystarczy p=none na start). Microsoft 365 egzekwuje DMARC według własnych reguł odbiorczych. p=reject nie jest z automatu „wymogiem prawnym”: to docelowa egzekucja po audycie.

Po co tag pct i tag sp?

Tag pct pozwala stosować politykę p= tylko do części ruchu, który nie potwierdza From (przydatne przy wdrażaniu). Tag sp pozwala skonfigurować politykę dla subdomen niezależnie od głównej domeny; np. p=reject; sp=none chroni domenę główną, ale pozwala na audyt subdomen.

Jak długo obserwować p=none przed reject?

Dla nowej domeny bywa to krótko (po testach). Dla żywej produkcji rekomendujemy około dwóch tygodni realnej wysyłki w RUA, a nawet dłużej, gdy poczta jest rzadka lub źródeł jest wiele. Kryterium to pokrycie i brak niespodziewanych faili w raportach, nie data w kalendarzu.

Przejście DMARC od p=none do p=reject: Kompletny przewodnik wdrożeniowy

DMARC to standard bezpieczeństwa poczty elektronicznej (RFC 7489), który chroni reputację domeny firmowej przed phishingiem i podszywaniem się pod markę. Mechanizm weryfikuje spójność między domeną widoczną w polu From a protokołami uwierzytelniania (SPF i DKIM).

Z punktu widzenia ciągłości biznesowej wdrożenie DMARC to proces zarządzania ryzykiem, a nie jednorazowa konfiguracja techniczna. Ścieżka opiera się na kontrolowanej ewolucji polityk:

p=none (Audyt): Tryb czysto obserwacyjny. Pozwala zmapować całą infrastrukturę wysyłkową bez wpływu na ruch produkcyjny.
p=quarantine (Ograniczenie ryzyka): Przekierowanie niezweryfikowanych wiadomości bezpośrednio do folderu spam.
p=reject (Pełna ochrona): Całkowite odrzucanie fałszywych wiadomości na poziomie serwera odbiorczego.

Ostateczna egzekucja zależy od polityki systemów pocztowych (MTA) odbiorców. Przedwczesne wdrożenie polityki p=reject bez uprzedniego audytu i domknięcia legalnych ścieżek wysyłkowych grozi odrzuceniem własnej, legalnej korespondencji biznesowej (błędy typu SMTP 550) i zakłóceniem kluczowych procesów operacyjnych. Wdrożenie wymaga oparcia na twardych danych z raportów analitycznych.

Jeśli chciałbyś dowiedzieć się więcej o standardzie DMARC, zachęcamy do lektury RFC 7489.

DMARC mówi serwerom odbiorców (np. Gmailowi): jeśli ktoś wysyła maila z Twoim adresem w polu From, a SPF ani DKIM tego nie potwierdzają, zastosuj politykę p=. Bez rekordu łatwiej o spoofing marki/domeny, a z przedwczesnym p=reject łatwiej o odcięcie własnej poczty.