For at konfigurere DMARC sikkert skal du først udgive en overvågningspost, bruge dens rapporter til at autentificere alle legitime afsendende kilder og derefter hæve politikken i trin fra ingen til karantæne for at afvise. Rækkefølgen er vigtig: håndhævelse, før dine kilder passerer, vil blokere ægte post. Udført i rækkefølge, opnår du fuld beskyttelse uden at forstyrre leveringen.
Før du starter
DMARC afhænger af SPF og DKIM , så bekræft, at begge findes først. SPF ( RFC 7208 ) viser de IP'er og tjenester, der er tilladt at sende for dit domæne i en TXT post. DKIM tilføjer en kryptografisk signatur offentliggjort som en offentlig nøgle i DNS . Du skal have mindst én af dem bestået og justeret for at DMARC kan bestå, og ideelt set begge. Bemærk også grænsen for SPF 10 DNS opslag: en SPF record, der udløser mere end ti DNS opslag, mislykkes, hvilket derefter bryder DMARC justeringen.
Trin for skridt
- 1
1. Offentliggør en overvågningsrecord
Tilføj en TXT post ved _dmarc med v=DMARC1; p=none; rua=mailto:rua@example.com. Dette indsamler data uden at påvirke leveringen.
- 2
2. Indsamle rapporter
Vent to til fire uger, og læs de samlede ( RUA ) rapporter for at se hver kilde, der sender som dit domæne.
- 3
3. Godkend hver kilde
For hver legitim afsender skal du konfigurere SPF og DKIM , så den passerer og tilpasser sig dit From-domæne.
- 4
4. Flyt til karantæne
Når legitim e-mail passerer konsekvent, skal du indstille p=quarantine, eventuelt bruge pct til at rampe gradvist.
- 5
5. Flyt for at afvise
Når karantænen viser, at ingen legitim e-mail fejler, skal du indstille p=reject for fuld beskyttelse.
- 6
6. Bliv ved med at overvåge
Fortsæt med at læse rapporter, så nye tjenester og ethvert misbrug bliver fanget tidligt.
Udrulningsstien
v=DMARC1; p=none then p=quarantine; pct=50 then p=reject; pct=100
Håndter SPF opslagsgrænsen
Mange organisationer overskrider SPF 10 DNS opslagsgrænsen, da de tilføjer cloud-tjenester, som stille bryder SPF og underminerer DMARC . Udfladning af SPF opløser de inkluderede mekanismer til direkte IP-adresser, så du holder dig under grænsen. EmailAuth SmartSPF udflader automatisk din SPF record og holder den opdateret, når dine leverandører ændrer deres IP'er.
Almindelige faldgruber
- Hop til p=reject før kilder godkendes, hvilket blokerer for ægte post.
- Glemning af underdomæner: Angiv en sp-politik, ellers kan de efterlades ubeskyttede.
- Udgivelse af to DMARC -poster, hvilket ugyldiggør DMARC fuldstændigt.
- Ignorerer SPF 10-opslagsgrænsen, som bryder SPF og DMARC justeringen.
- Håndhæver og kontrollerer aldrig rapporter igen, så nye afsendere går ubemærket hen.
Gør den løbende ledelse lettere
EmailAuth kan hoste dine DMARC , SPF , DKIM og BIMI -poster ved CNAME delegering, så du peger DNS én gang og administrerer politikændringer i et dashboard i stedet for at redigere DNS gentagne gange. Den analyserer RUA og RUF for dig og markerer kilder, der stadig skal arbejde. For at se dit udgangspunkt, kør en gratis domænescanning og følg derefter den trinvise sti ovenfor for at nå p=reject.
Ofte stillede spørgsmål
Hvordan konfigurerer jeg DMARC uden at bryde e-mail?
Start med p=none, som overvåger uden at påvirke leveringen. Brug de samlede rapporter til at godkende alle legitime afsendere med SPF og DKIM , gå derefter til karantæne og afvis til sidst. Den trinvise tilgang betyder, at du aldrig håndhæver, før du har bekræftet rigtige postpas.
Hvor længe skal jeg blive ved p=none?
Længe nok til at se et fuldstændigt billede af dine afsendende kilder, normalt to til fire uger for de fleste organisationer. Hvis du sender gennem mange tjenester eller har sæsonbestemte afsendere, skal du vente længere. Gå kun videre, når dine rapporter viser al lovlig e-mail, der sendes og justeres.
Hvad er grænsen for SPF 10 DNS opslag?
SPF evaluering er begrænset til ti DNS opslag. Hvis din records include og andre mekanismer udløser mere end ti, returnerer SPF en permerror og fejler, hvilket bryder DMARC justeringen. Udjævning af SPF -posten til direkte IP'er, for eksempel med EmailAuth SmartSPF , holder dig under grænsen.
Har jeg brug for en separat DMARC post for underdomæner?
Ikke nødvendigvis. Underdomæner arver organisationsdomænets politik, medmindre du angiver sp-tagget eller udgiver en dedikeret post på _dmarc.subdomain. Brug sp til at anvende en anden politik på underdomæner, og beskyt ubrugte underdomæner eksplicit, så de ikke kan spoofes.
[ DMARC guide]
Virksomhedens herkomst
Hvorfor top finansielle institutioner og regeringer pensionerede deres e-mailsikkerhedsdashboards.
Traditionelle e-mail-godkendelsesplatforme sælger dig et dashboard og beder dine ingeniører om at gøre arbejdet. I miljøer med høj indsats betyder manuel overvågning forsinket håndhævelse, konfigurationsdrift og uovervågede skyggedomæner.
EmailAuth er den agentiske e-mail-herkomstplatform. Vores agenter håndhæver p=reject, hold tredjepartsafsendere på linje og flyt dine domæner til fuld RFC 9989 compliance, den nye DMARC standard, med menneskelig auditabilitet.
SaaS · Dedikeret lejemål · Air-gapped on-prem · BYOK-kryptering