Um DMARC sicher einzurichten, veröffentlichen Sie zunächst einen Überwachungsdatensatz, verwenden Sie dessen Berichte, um jede legitime Sendequelle zu authentifizieren, und erhöhen Sie dann die Richtlinie schrittweise von „Keine“ über „Quarantäne“ bis „Ablehnen“. Die Reihenfolge ist wichtig: Durch die Durchsetzung, bevor Ihre Quellen durchgehen, werden echte E-Mails blockiert. Wenn Sie dies nacheinander tun, erreichen Sie den vollständigen Schutz, ohne die Zustellung zu unterbrechen.
Bevor Sie beginnen
DMARC ist von SPF und DKIM abhängig. Stellen Sie daher zunächst sicher, dass beide vorhanden sind. SPF ( RFC 7208 ) listet die IPs und Dienste auf, die für Ihre Domain in einem TXT Eintrag gesendet werden dürfen. DKIM fügt eine kryptografische Signatur hinzu, die als öffentlicher Schlüssel im DNS veröffentlicht wird. Sie müssen mindestens einen von ihnen bestehen und ausgerichtet haben, damit DMARC besteht, und im Idealfall beides. Beachten Sie auch das DNS -Lookup-Limit SPF 10: Ein SPF Eintrag, der mehr als zehn DNS Lookups auslöst, schlägt fehl, wodurch DMARC -Ausrichtung unterbrochen wird.
Schritt für Schritt
- 1
1. Veröffentlichen Sie einen Überwachungsdatensatz
Fügen Sie einen TXT Eintrag bei _dmarc mit v=DMARC1; p=none; rua=mailto:rua@example.com. Dabei werden Daten erfasst, ohne dass die Auslieferung beeinträchtigt wird.
- 2
2. Sammeln Sie Berichte
Warten Sie zwei bis vier Wochen und lesen Sie die Gesamtberichte ( RUA ), um zu sehen, dass jede Quelle Ihre Domain sendet.
- 3
3. Authentifizieren Sie jede Quelle
Richten Sie für jeden legitimen Absender SPF und DKIM ein, damit er weitergeleitet wird und mit Ihrer Absenderdomäne übereinstimmt.
- 4
4. Gehen Sie in die Quarantäne
Wenn legitime E-Mails regelmäßig weitergeleitet werden, legen Sie p=quarantine, verwenden Sie optional pct, um die E-Mail schrittweise hochzufahren.
- 5
5. Gehen Sie zum Ablehnen
Sobald in der Quarantäne festgestellt wird, dass keine legitimen E-Mails fehlschlagen, setzen Sie p=reject für vollständigen Schutz.
- 6
6. Beobachten Sie weiter
Lesen Sie weiterhin Berichte, damit neue Dienste und etwaiger Missbrauch frühzeitig erkannt werden.
Der Rollout-Pfad
v=DMARC1; p=none then p=quarantine; pct=50 then p=reject; pct=100
Behandeln Sie das SPF Suchlimit
Viele Organisationen überschreiten das DNS -Lookup-Limit SPF 10, wenn sie Cloud-Dienste hinzufügen, wodurch SPF stillschweigend unterbrochen und DMARC untergraben wird. Durch das Flattening SPF werden die enthaltenen Mechanismen in direkte IP-Adressen aufgelöst, sodass Sie unter dem Limit bleiben. SmartSPF von EmailAuth reduziert Ihren SPF Eintrag automatisch und hält ihn auf dem neuesten Stand, wenn Ihre Anbieter ihre IPs ändern.
Häufige Fallstricke
- Springen zu p=reject bevor Quellen authentifiziert werden, wodurch echte E-Mails blockiert werden.
- Subdomains vergessen: Legen Sie eine SP-Richtlinie fest, sonst bleiben sie möglicherweise ungeschützt.
- Veröffentlichung von zwei DMARC Datensätzen, wodurch DMARC vollständig ungültig wird.
- Ignorieren des SPF 10-Lookup-Limits, wodurch SPF und DMARC Ausrichtung unterbrochen wird.
- Durchsetzung und anschließende Überprüfung von Berichten, sodass neue Absender unbemerkt bleiben.
Erleichtern Sie die laufende Verwaltung
EmailAuth kann Ihre DMARC , SPF , DKIM und BIMI -Einträge durch CNAME Delegation hosten, sodass Sie einmal auf DNS verweisen und Richtlinienänderungen in einem Dashboard verwalten können, anstatt DNS wiederholt zu bearbeiten. Es analysiert RUA und RUF für Sie und markiert Quellen, die noch bearbeitet werden müssen. Um Ihren Ausgangspunkt zu sehen, führen Sie einen kostenlosen Domänenscan durch und folgen Sie dann dem oben aufgeführten Pfad, um p=reject.
Häufig gestellte Fragen
Wie richte ich DMARC ein, ohne E-Mails zu beschädigen?
Beginnen Sie mit p=none, wodurch die Zustellung überwacht wird, ohne dass dies Auswirkungen hat. Verwenden Sie die aggregierten Berichte, um jeden legitimen Absender mit SPF und DKIM zu authentifizieren, dann in die Quarantäne zu verschieben und schließlich abzulehnen. Der abgestufte Ansatz bedeutet, dass Sie die Durchsetzung erst dann durchsetzen, wenn Sie echte E-Mail-Zugänge bestätigt haben.
Wie lange sollte ich bei p=none?
Lange genug, um ein vollständiges Bild Ihrer Sendequellen zu erhalten, bei den meisten Organisationen normalerweise zwei bis vier Wochen. Wenn Sie über viele Dienste versenden oder saisonale Absender haben, warten Sie länger. Fahren Sie erst fort, wenn Ihre Berichte alle legitimen E-Mail-Weiterleitungen und -Ausrichtungen anzeigen.
Wie hoch ist das SPF 10- DNS -Lookup-Limit?
SPF Auswertung ist auf zehn DNS Suchvorgänge begrenzt. Wenn die Include- und andere Mechanismen Ihres Datensatzes mehr als zehn Mal auslösen, gibt SPF einen permerror zurück und schlägt fehl, wodurch DMARC Ausrichtung unterbrochen wird. Durch die Reduzierung des SPF -Eintrags auf direkte IPs, beispielsweise mit EmailAuth SmartSPF , bleiben Sie unter dem Limit.
Benötige ich einen separaten DMARC Eintrag für Subdomains?
Nicht unbedingt. Subdomains erben die Richtlinie der Organisationsdomäne, es sei denn, Sie legen das SP-Tag fest oder veröffentlichen einen dedizierten Eintrag unter _dmarc.subdomain. Verwenden Sie sp, um eine andere Richtlinie auf Subdomains anzuwenden und nicht verwendete Subdomains explizit zu schützen, damit sie nicht gefälscht werden können.
[ DMARC Führung ]
Unternehmensherkunft
Warum Top-Finanzinstitute und Regierungen haben ihre E-Mail-Sicherheits-Dashboards eingestellt.
Herkömmliche E-Mail-Authentifizierungsplattformen verkaufen Ihnen ein Dashboard und bitten Ihre Techniker, die Arbeit zu erledigen. In Umgebungen mit hohem Risiko führt die manuelle Überwachung zu verzögerter Durchsetzung, Konfigurationsabweichungen und nicht überwachten Schattendomänen.
EmailAuth ist die Agenten-E-Mail-Herkunftsplattform. Unsere Agenten setzen durch p=reject, halten Sie die Absender von Drittanbietern auf dem Laufenden und verschieben Sie Ihre Domains auf voll RFC 9989 Compliance, der neue DMARC Standard, mit Human-in-the-Loop-Überprüfbarkeit.
SaaS · Dedizierte Mandantenfähigkeit · Air-Gap-On-Prem · BYOK-Verschlüsselung