Vad är DMARC?
DMARC, Domain-based Message Authentication, Reporting and Conformance, kopplar e-postautentisering till den domän som syns i meddelandets Från-fält. Standarden använder SPF eller DKIM tillsammans med alignment, alltså att den autentiserade identiteten stämmer överens med den synliga avsändardomänen.
DMARC innehåller också rapportering. Rapporterna hjälper er att se vilka system som skickar med er domän och om meddelandena klarar kontrollerna. Det gör DMARC till både ett skydd och ett verktyg för att förstå e-postmiljön.
Vad p=none gör och inte gör
Med p=none ber ni inte mottagaren att stoppa eller karantänsätta ett meddelande på grund av DMARC-resultatet. Policyn är därför främst en startpunkt för inventering och rapportanalys, inte slutmålet för skyddet.
p=none betyder inte att alla meddelanden levereras. Mottagaren kan fortfarande filtrera e-post av andra skäl. Det betyder inte heller att er domän saknar allt skydd, men den DMARC-baserade hanteringen av misslyckad autentisering skärps inte genom policyn.
Vägen från p=none till p=reject
Börja med att inventera alla legitima avsändare, inklusive CRM, fakturering, nyhetsbrev, support och andra externa system. Kontrollera därefter SPF, DKIM och alignment för varje flöde. Ett tekniskt godkänt SPF eller DKIM räcker inte om identiteten inte är alignad med den synliga Från-domänen.
När rapportdata visar att legitima flöden fungerar kan policyn skärps till p=quarantine och senare p=reject. Använd faktiska utskickscykler och representativa rapporter som underlag i stället för att enbart räkna dagar. Fortsätt bevakningen även efter p=reject eftersom nya system och avsändare tillkommer.
- Inventera avsändare
- Korrigera SPF, DKIM och alignment
- Analysera rapporter
- Skärp policyn stegvis
- Fortsätt övervaka
Vanliga misstag att undvika
Ett vanligt misstag är att gå direkt till p=reject utan att känna till alla avsändare. Ett annat är att tro att p=reject stoppar alla former av bedrägerier. DMARC är en policy till mottagaren för den exakta domänen och skyddar inte generellt mot förväxlingsdomäner eller andra metoder.