Wdrożenie DMARC: od p=none do p=reject krok po kroku

Masz DMARC z p=none. I co dalej?

Pewnie kiedyś dodałeś rekord DMARC do swojej domeny, bo Gmail zaczął odrzucać Twoje faktury i przypomnienia albo jakieś narzędzie pokazało czerwone ostrzeżenie. Opublikowałeś v=DMARC1; p=none, ostrzeżenie zniknęło i od tamtej pory nikt tego rekordu nie dotykał.

Taki rekord spełnia wymagania, ale w żaden sposób nie powstrzyma kogoś, kto wysyła fałszywe faktury z Twojej domeny. Prawdziwa ochrona zaczyna się dopiero przy p=reject. Każdy słyszał historię grozy: firma przełącza się na reject i nagle znikają faktury z programu księgowego i maile z resetem hasła ze strony. Ten poradnik pokazuje, jak dojść do reject, żeby to Ciebie nie spotkało.

Zanim zaczniesz czytać, sprawdź swoją domenę w darmowym narzędziu do sprawdzania DMARC. Zobaczysz aktualną politykę, pct i adres raportów, czyli dowiesz się, na którym etapie tego planu jesteś.

Co DMARC dodaje do SPF i DKIM

SPF i DKIM odpowiadają na wąskie, techniczne pytania. SPF sprawdza, czy serwer może wysyłać w imieniu domeny z koperty wiadomości (Return-Path). DKIM sprawdza, czy wiadomość podpisała domena z tagu d= i czy podpis jest nienaruszony. Żaden z nich nie patrzy na adres, który odbiorca faktycznie widzi, czyli ten w nagłówku From.

Właśnie tę lukę wykorzystują oszuści. Mogą przejść SPF dla własnej, jednorazowej domeny, a w polu Od wpisać faktury@twojafirma.pl. DMARC zamyka tę lukę jedną zasadą, która nazywa się wyrównaniem (alignment): wiadomość przechodzi DMARC tylko wtedy, gdy SPF lub DKIM przechodzi i domena, która przeszła, zgadza się z domeną w polu From.

• Wyrównanie SPF: domena z Return-Path zgadza się z domeną From.
• Wyrównanie DKIM: domena d= z podpisu DKIM zgadza się z domeną From.

Wystarczy jedno wyrównane zaliczenie. W praktyce warto opierać się na DKIM, bo przetrwa przekierowanie wiadomości, a SPF często się wtedy sypie. Jeśli Twój SPF albo DKIM sam w sobie kuleje, zacznij od nich. Typowe problemy opisaliśmy w poradnikach o naprawianiu błędów w rekordzie SPF i najczęstszych błędach konfiguracji DKIM.

Budowa rekordu DMARC

DMARC to jeden rekord TXT opublikowany pod adresem _dmarc.twojadomena.pl. Typowy rekord na start wygląda tak:

v=DMARC1; p=none; rua=mailto:dmarc-raporty@twojadomena.pl

• v=DMARC1: wersja. Musi być na początku i dokładnie w tej formie.
• p=: polityka dla wiadomości, które nie przejdą weryfikacji. none to tylko monitoring, quarantine kieruje je do spamu, reject je blokuje.
• rua=mailto:...: adres, na który serwery odbiorców wysyłają dzienne raporty zbiorcze. Bez niego działasz po omacku.
• pct=: odsetek niezgodnych wiadomości objętych polityką (domyślnie 100), przydatny przy stopniowym zaostrzaniu.
• sp=: polityka dla subdomen. Jeśli jej nie podasz, subdomeny dziedziczą p.
• adkim= i aspf=: tryb wyrównania. r (relaxed, domyślny) akceptuje dowolną subdomenę Twojej domeny głównej, więc mail.twojadomena.pl jest wyrównana z twojadomena.pl. s (strict) wymaga identycznej domeny i psuje wiele poprawnych konfiguracji, więc zostań przy relaxed.

Stan docelowy:

v=DMARC1; p=reject; sp=reject; adkim=r; aspf=r; rua=mailto:dmarc-raporty@twojadomena.pl

Wdrożenie krok po kroku: od none do reject

Przejście na reject to mały projekt, a nie jedna zmiana w DNS. Przejdź przez te pięć kroków po kolei.

1. Spisz wszystkie usługi, które wysyłają z Twojej domeny

Zanotuj wszystko, co wstawia Twoją domenę w pole Od. Większość małych firm znajduje więcej, niż się spodziewała:

• Skrzynki pocztowe (Google Workspace, Microsoft 365 albo hosting)
• Program do fakturowania lub księgowości, który wysyła faktury i przypomnienia
• CRM, helpdesk, systemy rezerwacji
• Platformę do przypomnień o płatnościach, zestawień i powiadomień dla klientów
• Formularze kontaktowe na stronie, powiadomienia ze sklepu, systemy kadrowo-płacowe

2. Opublikuj p=none z raportowaniem

Zacznij od p=none i działającego adresu rua. Zostaw go na co najmniej dwa do czterech tygodni, żeby objąć pełny cykl miesięczny: wysyłkę faktur, wypłaty, zestawienia. Ten krok nie zmienia niczego w doręczaniu, po prostu zapala światło.

3. Popraw wyrównanie dla każdego prawdziwego nadawcy

Dla każdej prawdziwej usługi, która nie przechodzi wyrównania, skonfiguruj podpis DKIM Twoją domeną (zwykle to rekord CNAME lub TXT, który podaje dostawca) oraz, jeśli to możliwe, własny Return-Path w Twojej domenie. Usługa, która potrafi wysyłać tylko ze swojej domeny, powinna wysyłać ze swojej, a nie z Twojej.

4. Przejdź na quarantine, stopniowo

Kiedy raporty pokazują, że prawdziwi nadawcy konsekwentnie przechodzą weryfikację, zmień rekord na:

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-raporty@twojadomena.pl

Obserwuj raporty przez tydzień lub dwa, potem podnieś pct do 50, a następnie do 100. Jeśli jakiś prawdziwy nadawca nie przechodzi, do spamu trafi tylko część jego poczty.

5. Przejdź na reject

Po spokojnym okresie na p=quarantine; pct=100 zmień politykę na p=reject. Zostaw adres rua i dalej czytaj raporty. Każde nowe narzędzie w firmie to kolejny nadawca do wyrównania.

Jak czytać raporty zbiorcze i nie zwariować

Raporty zbiorcze (rua) przychodzą jako spakowane pliki XML, zwykle jeden dziennie od każdego dostawcy poczty. Wrzuć je do parsera raportów DMARC, a każdy wiersz sprowadzi się do kilku pól: adres IP nadawcy, liczba wiadomości, czy SPF i DKIM przeszły, czy były wyrównane i co serwer odbiorcy zrobił z pocztą.

Podziel źródła na cztery grupy:

• Prawdziwe i wyrównane: Twój dostawca poczty i poprawnie skonfigurowane narzędzia. Nic nie trzeba robić.
• Prawdziwe, ale niewyrównane: program do faktur albo CRM, o którym zapomniałeś. Napraw je przed zaostrzeniem polityki.
• Poczta przekierowana: wiadomości przechodzące przez listy dyskusyjne lub reguły przekierowania, często bez SPF, ale z poprawnym DKIM. Wyrównany DKIM je obsłuży.
• Nieznane źródła: adresy IP, których nie rozpoznajesz, a które wysyłają z Twojej domeny. Zwykle to podszywanie się, czyli dokładnie to, co zatrzyma reject.

Typowe błędy, przez które giną prawdziwe maile

• Brak adresu rua. Polityka bez raportów nie daje Ci żadnych danych, żeby ocenić, kiedy można bezpiecznie ją zaostrzyć.
• Skok prosto na reject. Pominięcie etapu monitoringu to najprostsza droga do tego, żeby faktury i resety haseł zniknęły z dnia na dzień.
• Zapomniani zewnętrzni nadawcy. Program do faktur, CRM czy system rezerwacji, który wysyła z Twojej domeny, ale podpisuje DKIM swoją, to klasyczna ofiara.
• Pominięte subdomeny. Bez sp= subdomeny dziedziczą główną politykę. Przed zaostrzeniem sprawdź, czy nic ważnego nie wysyła z subdomeny.
• Dwa rekordy DMARC. Jeśli pod _dmarc.twojadomena.pl są dwa rekordy TXT z v=DMARC1, serwery uznają to za błąd i całkowicie ignorują DMARC. Edytuj istniejący rekord zamiast dodawać drugi.

Dlaczego p=none to już nie opcja, tylko minimum

Od lutego 2024 roku Gmail i Yahoo wymagają od nadawców masowych opublikowania rekordu DMARC z co najmniej p=none oraz wyrównania domeny From z SPF lub DKIM. Microsoft wprowadził podobne zasady dla Outlook.com. Pełną listę znajdziesz w naszym omówieniu wymagań Gmaila, Yahoo i Microsoftu dla nadawców masowych.

Jak MailerBit wpisuje się w Twój plan DMARC

Jeśli wysyłasz przez MailerBit przypomnienia o płatnościach, zestawienia czy informacje o opłatach, tego nadawcę łatwo odhaczysz na liście. Zanim wyślesz kampanię, MailerBit prosi o weryfikację Twojej własnej domeny i generuje dokładne rekordy DNS do dodania: klucz DKIM, który podpisuje pocztę Twoją domeną, oraz własny Return-Path, dzięki któremu zwroty przechodzą przez Twoją domenę, a nie naszą. Oba zgadzają się z adresem w polu Od, a to właśnie sprawdza wyrównanie DMARC.

Wysyłasz z własnej, zweryfikowanej domeny, więc budujesz własną reputację domeny, a konta z odsetkiem zwrotów powyżej 5% lub zgłoszeń spamu powyżej 0,1% są automatycznie wstrzymywane. Sam rekord DMARC pozostaje w Twoich rękach: publikujesz go w swoim DNS i w każdej chwili sprawdzisz go naszymi darmowymi narzędziami.

Dojdź do reject i tam zostań

Egzekwowanie DMARC to różnica między „mamy uwierzytelnianie” a „nikt nie wyśle faktury, podszywając się pod nas”. Zrób listę nadawców, zbierz raporty, popraw wyrównanie, a potem przejdź przez quarantine do reject. To kwestia kilku tygodni, nie jednego weekendu.

Chcesz, żeby Twoje przypomnienia i zestawienia przechodziły weryfikację od pierwszego dnia? Załóż konto w MailerBit, zweryfikuj domenę i wyślij pierwszą kampanię z adresu, któremu Twoi klienci mogą zaufać.