For å konfigurere DMARC på en sikker måte, publiserer du først en overvåkingspost, bruker rapportene til å autentisere alle legitime sendekilder, og hever deretter policyen i etapper fra ingen til karantene for å avvise. Rekkefølgen er viktig: håndheving før kildene dine passerer vil blokkere ekte post. Utført i rekkefølge, oppnår du full beskyttelse uten å forstyrre leveringen.
Før du begynner
DMARC avhenger av SPF og DKIM , så bekreft at begge eksisterer først. SPF ( RFC 7208 ) viser IP-ene og tjenestene som er tillatt å sende for domenet ditt i en TXT post. DKIM legger til en kryptografisk signatur publisert som en offentlig nøkkel i DNS . Du må ha minst én av dem bestått og justert for at DMARC skal bestå, og ideelt sett begge deler. Legg også merke til grensen for SPF 10 DNS oppslag: en SPF post som utløser mer enn ti DNS oppslag mislykkes, som deretter bryter DMARC -justeringen.
Steg for steg
- 1
1. Publiser en overvåkingspost
Legg til en TXT -post på _dmarc med v=DMARC1; p=none; rua=mailto:rua@example.com. Dette samler inn data uten å påvirke leveringen.
- 2
2. Samle rapporter
Vent to til fire uker og les de samlede ( RUA ) rapportene for å se hver kilde som sender som ditt domene.
- 3
3. Autentiser hver kilde
For hver legitim avsender, konfigurer SPF og DKIM slik at den passerer og justeres med From-domenet ditt.
- 4
4. Gå til karantene
Når legitim post sendes konsekvent, sett p=quarantine, eventuelt bruk pct for å rampe gradvis.
- 5
5. Flytt for å avvise
Når karantenen viser at ingen legitim e-post mislykkes, setter du p=reject for full beskyttelse.
- 6
6. Fortsett å overvåke
Fortsett å lese rapporter slik at nye tjenester og eventuelle misbruk oppdages tidlig.
Utrullingsbanen
v=DMARC1; p=none then p=quarantine; pct=50 then p=reject; pct=100
Håndter SPF oppslagsgrensen
Mange organisasjoner overskrider SPF 10 DNS oppslagsgrensen når de legger til skytjenester, som i det stille bryter SPF og undergraver DMARC . Flattening SPF løser de inkluderte mekanismene til direkte IP-adresser slik at du holder deg under grensen. EmailAuth SmartSPF flater ut SPF posten din automatisk og holder den oppdatert når leverandørene dine endrer IP-ene sine.
Vanlige fallgruver
- Hopp til p=reject før kildene er autentisert, noe som blokkerer ekte post.
- Glemte underdomener: Angi en sp-policy, ellers kan de stå ubeskyttet.
- Publiserer to DMARC -poster, noe som ugyldiggjør DMARC fullstendig.
- Ignorerer SPF 10-oppslagsgrensen, som bryter SPF og DMARC justering.
- Håndheve og så aldri sjekke rapporter igjen, så nye avsendere går ubemerket hen.
Gjør løpende ledelse enklere
EmailAuth kan være vert for DMARC , SPF , DKIM og BIMI -postene dine ved CNAME delegering, slik at du peker DNS én gang og administrerer policyendringer i et dashbord i stedet for å redigere DNS gjentatte ganger. Den analyserer RUA og RUF for deg og flagger kilder som fortsatt trenger arbeid. For å se startpunktet ditt, kjør en gratis domeneskanning, og følg deretter den trinnvise banen ovenfor for å nå p=reject.
Ofte stilte spørsmål
Hvordan konfigurerer jeg DMARC uten å bryte e-post?
Start med p=none, som overvåker uten å påvirke levering. Bruk de samlede rapportene til å autentisere alle legitime avsendere med SPF og DKIM , gå deretter til karantene og avvis til slutt. Den etappevise tilnærmingen betyr at du aldri håndhever før du har bekreftet ekte postbeløp.
Hvor lenge bør jeg bo på p=none?
Lang nok til å se et fullstendig bilde av sendekildene dine, vanligvis to til fire uker for de fleste organisasjoner. Hvis du sender gjennom mange tjenester eller har sesongavsendere, vent lenger. Gå bare videre når rapportene dine viser all legitim e-postsending og justering.
Hva er SPF 10 DNS -oppslagsgrensen?
SPF evaluering er begrenset til ti DNS oppslag. Hvis postens inkluderer og andre mekanismer utløser mer enn ti, returnerer SPF en permerror og mislykkes, noe som bryter DMARC justeringen. Å flate ut SPF posten til direkte IP-er, for eksempel med EmailAuth SmartSPF , holder deg under grensen.
Trenger jeg en egen DMARC post for underdomener?
Ikke nødvendigvis. Underdomener arver organisasjonsdomenets policy med mindre du angir sp-taggen eller publiserer en dedikert post på _dmarc.subdomain. Bruk sp for å bruke en annen policy for underdomener, og beskytte ubrukte underdomener eksplisitt slik at de ikke kan forfalskes.
[ DMARC guide ]
Enterprise herkomst
Hvorfor topp finansinstitusjoner og regjeringer pensjonert e-postsikkerhetsdashboardene deres.
Tradisjonelle e-postautentiseringsplattformer selger deg et dashbord og ber ingeniørene dine gjøre jobben. I miljøer med høy innsats betyr manuell overvåking forsinket håndheving, konfigurasjonsdrift og uovervåkede skyggedomener.
EmailAuth er den agentiske e-postopprinnelsesplattformen. Våre agenter håndhever p=reject, hold tredjepartssendere på linje og flytt domenene dine til fulle RFC 9989 compliance, den nye DMARC standarden, med menneskelig-in-the-loop reviderbarhet.
SaaS · Dedikert leieforhold · Air-gaped on-prem · BYOK-kryptering