Sprawdzanie rekordu DMARC

Znajdziemy rekord DMARC domeny, sprawdzimy składnię i pokażemy, co odbiorcy zrobią z podrobionymi wiadomościami.

Sprawdzanie rekordu DMARC

DMARC mówi serwerom pocztowym, co zrobić z wiadomościami, które podszywają się pod Twoją domenę i nie przechodzą SPF ani DKIM: dostarczyć, wrzucić do spamu albo odrzucić. Narzędzie znajduje rekord _dmarc (a gdy subdomena go nie ma — rekord domeny nadrzędnej), sprawdza składnię każdego tagu, liczy opublikowane rekordy i pokazuje, która polityka faktycznie obowiązuje dla wpisanej domeny.

Polityki p, sp i np: co stanie się z podrobioną pocztą

Sprawdzenie domeny nadrzędnej, gdy subdomena nie ma rekordu

Błędy składni: p, pct, adkim, aspf, fo, nieznane tagi, zdublowane rekordy

Adresy raportów rua/ruf i autoryzacja zewnętrznych odbiorców

Jak korzystać

Wpisz domenę lub adres e-mail — weźmiemy część po @
Sprawdź ocenę, obowiązującą politykę i listę wyników
Popraw rekord w DNS, a potem sprawdź SPF i DKIM linkami nad wynikiem

FAQ

To rekord TXT pod nazwą _dmarc Twojej domeny, np. _dmarc.example.com, o wartości w rodzaju v=DMARC1; p=none; rua=mailto:adres. Określa politykę dla wiadomości, które nie przeszły weryfikacji, i adres raportów. Rekord musi być jeden.

Zacznij od none z adresem rua: przez kilka tygodni zbieraj raporty i upewnij się, że każdy serwis wysyłający w Twoim imieniu przechodzi SPF lub DKIM. Potem włącz quarantine (można z pct poniżej 100), a gdy legalna poczta przestanie odpadać — reject. Od razu reject to ryzyko: wiadomości z zapomnianych serwisów przestaną docierać.

DMARC wymaga dopasowania: domena z pola From musi zgadzać się z domeną, która przeszła SPF (adres zwrotny), albo z domeną d= podpisu DKIM. Jeśli serwis mailingowy podpisuje własną domeną i używa własnego adresu zwrotnego, SPF i DKIM przejdą, a DMARC nie. Skonfiguruj w serwisie DKIM dla swojej domeny.

Nie, jeśli odpowiada jej polityka domeny głównej: subdomeny bez własnego rekordu dostają tag sp domeny głównej (a gdy go brak — p). Osobny rekord jest potrzebny tylko przy innej polityce lub innych adresach raportów.

Od lutego 2024 r. Google i Yahoo wymagają od wszystkich nadawców SPF lub DKIM, a od nadawców masowych — SPF i DKIM, rekordu DMARC co najmniej z p=none oraz zgodności domeny From z domeną SPF lub DKIM. Progi i szczegóły się zmieniają — sprawdzaj aktualne wytyczne Google i Yahoo dla nadawców.

Jak czytać wynik sprawdzenia DMARC

Narzędzie pobiera rekord TXT spod nazwy _dmarc. Twojej domeny. Jeśli subdomena (np. news.example.com) nie ma własnego rekordu, sprawdzamy domenę nadrzędną — tak samo robi serwer pocztowy odbiorcy — i pokazujemy politykę, która faktycznie obowiązuje. Następnie każdy tag jest weryfikowany, a Ty dostajesz ocenę 0–100, sam rekord, polityki p i sp, pct, tryb dopasowania i listę wyników według wagi.

Co widzisz	Co to znaczy
Ocena 0 i „nie znaleziono rekordu”	Brak DMARC: odbiorcy sami decydują o losie podrobionych wiadomości, nie dostajesz raportów
Dwa lub więcej rekordów v=DMARC1	Wg RFC 7489 DMARC w ogóle nie działa — jakby rekordu nie było
p=none	Tryb monitorowania: raporty przychodzą, podróbki są dostarczane
p=quarantine	Wiadomości niezgodne z DMARC trafiają do spamu
p=reject	Takie wiadomości są odrzucane już przy odbiorze — najsilniejsza ochrona

Punkty odejmujemy za łagodną politykę, za pct poniżej 100, za niechronione subdomeny (sp=none przy ścisłym p), za brak adresu raportów rua i za zewnętrznych adresatów raportów bez rekordu autoryzacji.

Składnia rekordu DMARC: wszystkie tagi

Rekord to pary tag=wartość rozdzielone średnikami. Wersja zawsze jest pierwsza:

v=DMARC1; p=quarantine; sp=reject; pct=100; rua=mailto:[email protected]; adkim=r; aspf=r; fo=1

v=DMARC1 — obowiązkowy i pierwszy. Bez niego rekord TXT nie jest rekordem DMARC.
p — polityka dla samej domeny: none, quarantine lub reject. Obowiązkowy.
sp — polityka dla subdomen. Gdy go brak, obowiązuje p.
pct — jaki odsetek niezgodnych wiadomości obejmuje polityka (0–100, domyślnie 100). Reszta jest traktowana o stopień łagodniej — przydatne przy stopniowym wdrażaniu.
rua — adresy raportów zbiorczych (XML, zwykle raz na dobę). Kilka adresów rozdziela się przecinkami.
ruf i fo — raporty o pojedynczych błędach i warunki ich wysyłki (0, 1, d, s). Duzi dostawcy poczty prawie ich nie wysyłają.
adkim, aspf — dopasowanie: r (luźne, domyślne) lub s (ścisłe).
ri, rf — interwał i format raportów; w praktyce rzadko zmieniane.

Zaktualizowana specyfikacja DMARC (DMARCbis) usuwa pct, ri i rf oraz dodaje np (polityka dla nieistniejących subdomen), psd i t. Narzędzie rozumie oba zestawy. Odbiorcy po cichu ignorują nieznane tagi, więc literówka w rodzaju p =reject albo [email protected] bez mailto: psuje rekord bez żadnego komunikatu.

Dopasowanie: dlaczego DMARC nie przechodzi, choć SPF i DKIM są „zielone”

DMARC zalicza wiadomość tylko wtedy, gdy SPF lub DKIM przeszły dla tej samej domeny, co w widocznym polu From. SPF sprawdza domenę adresu zwrotnego (Return-Path), DKIM — domenę d= w podpisie. Jeśli serwis mailingowy wysyła z adresu zwrotnego bounce.esp-mail.com i podpisuje własną domeną, obie weryfikacje przejdą, a DMARC nie.

Przy luźnym dopasowaniu (r) wystarczy zgodność domeny organizacyjnej: mail.example.com pasuje do example.com. Ścisłe (s) wymaga identycznej domeny. Rozwiązanie: skonfiguruj własną domenę w każdym serwisie — podpis DKIM Twoją domeną (sprawdź go w sprawdzaniu DKIM) i, jeśli to możliwe, własną subdomenę zwrotną.

Jak wdrożyć DMARC bez utraty poczty

Upewnij się, że SPF i DKIM obejmują każdy serwis wysyłający w imieniu domeny: pocztę firmową, CRM, newslettery, stronę, helpdesk.
Opublikuj rekord monitorujący: v=DMARC1; p=none; rua=mailto:[email protected]. Raporty to pliki XML; wygodniej czytać je przez serwis agregujący.
Po 2–4 tygodniach przeanalizuj raporty: które IP wysyłają w Twoim imieniu i czy są dopasowane. Nieznane źródła to zapomniane serwisy albo podszywanie się.
Przejdź na p=quarantine (można zacząć od pct=25 i podnosić), potem na p=reject.
Domeny, które nie wysyłają poczty, zabezpiecz od razu: v=DMARC1; p=reject, SPF v=spf1 -all i null MX.

Raporty na adres w innej domenie

Gdy rua wskazuje adres w obcej domenie (np. serwisu analizy raportów), odbiorcy sprawdzają, czy ta domena zgadza się je przyjmować: szukają rekordu TXT example.com._report._dmarc.adresat.com o wartości v=DMARC1. Serwisy raportowe zwykle publikują go same; jeśli raporty trafiają do Twojej drugiej domeny, dodaj go ręcznie. Narzędzie sprawdza to dla każdego zewnętrznego adresata.

Gmail, Yahoo i wymagania wobec nadawców

Od lutego 2024 r. Google i Yahoo wymagają od wszystkich nadawców SPF lub DKIM, a od nadawców masowych — SPF i DKIM, rekordu DMARC co najmniej z p=none oraz zgodności domeny From z domeną SPF lub DKIM. Progi i szczegóły się zmieniają, więc sprawdzaj aktualne wytyczne Google i Yahoo dla nadawców. Rekord p=none formalnie spełnia wymóg, ale nie chroni przed podszywaniem się — to punkt wyjścia, a nie cel.

Gdzie edytować rekord DMARC

Tam, gdzie pozostałe rekordy DNS domeny: u rejestratora, w hostingu lub w Cloudflare. Typ TXT, nazwa _dmarc (panel sam dopisze domenę; dla subdomeny _dmarc.news), wartość — cały rekord. Rekord musi być jeden: zmieniając politykę, edytuj istniejący zamiast dodawać drugi. Po zapisaniu odczekaj czas TTL i sprawdź ponownie; sprawdzanie propagacji DNS pokaże, kiedy resolvery zobaczą zmianę.