För att ställa in DMARC på ett säkert sätt, publicera en övervakningspost först, använd dess rapporter för att autentisera alla legitima sändande källor och höj sedan policyn stegvis från ingen till karantän för att avvisa. Ordningen spelar roll: genom att verkställa innan dina källor passerar blockeras riktig post. Görs i ordning, når du fullt skydd utan att störa leveransen.
Innan du börjar
DMARC beror på SPF och DKIM , så bekräfta att båda existerar först. SPF ( RFC 7208 ) listar IP:er och tjänster som får skickas för din domän i en TXT post. DKIM lägger till en kryptografisk signatur publicerad som en offentlig nyckel i DNS . Du behöver minst en av dem som godkänns och justeras för att DMARC ska klara, och helst båda. Notera även gränsen för SPF 10 DNS uppslag: en SPF post som utlöser fler än tio DNS uppslagningar misslyckas, vilket sedan bryter DMARC -justeringen.
Steg för steg
- 1
1. Publicera en övervakningspost
Lägg till en TXT -post vid _dmarc med v=DMARC1; p=none; rua=mailto:rua@example.com. Detta samlar in data utan att påverka leveransen.
- 2
2. Samla rapporter
Vänta två till fyra veckor och läs de sammanlagda ( RUA ) rapporterna för att se varje källa som skickas som din domän.
- 3
3. Autentisera varje källa
För varje legitim avsändare ställer du in SPF och DKIM så att de passerar och anpassas till din From-domän.
- 4
4. Gå till karantän
När legitim e-post skickas konsekvent, ställ in p=quarantine, valfritt med pct för att rampa gradvis.
- 5
5. Flytta för att avvisa
När karantänen visar att ingen legitim post misslyckas, ställ in p=reject för fullt skydd.
- 6
6. Fortsätt övervaka
Fortsätt läsa rapporter så att nya tjänster och eventuella missbruk upptäcks tidigt.
Utbyggnadsvägen
v=DMARC1; p=none then p=quarantine; pct=50 then p=reject; pct=100
Hantera SPF uppslagsgränsen
Många organisationer överskrider SPF 10 DNS sökningsgränsen när de lägger till molntjänster, vilket tyst bryter SPF och undergräver DMARC . Flattening SPF löser de inkluderade mekanismerna till direkta IP-adresser så att du håller dig under gränsen. EmailAuth SmartSPF plattar ut din SPF post automatiskt och håller den uppdaterad när dina leverantörer ändrar sina IP-adresser.
Vanliga fallgropar
- Hoppa till p=reject innan källor autentiseras, vilket blockerar riktig post.
- Att glömma underdomäner: ställ in en sp-policy annars kan de lämnas oskyddade.
- Publicerar två DMARC -poster, vilket ogiltigförklarar DMARC helt.
- Ignorerar SPF 10-uppslagsgränsen, som bryter SPF och DMARC anpassningen.
- Tillämpa och sedan aldrig kontrollera rapporter igen, så nya avsändare går obemärkt förbi.
Gör den löpande hanteringen enklare
EmailAuth kan vara värd för dina DMARC , SPF , DKIM och BIMI -poster genom CNAME delegering, så du pekar DNS en gång och hanterar policyändringar i en instrumentpanel istället för att redigera DNS upprepade gånger. Den analyserar RUA och RUF för dig och flaggar källor som fortfarande behöver arbete. För att se din startpunkt, kör en gratis domänskanning och följ sedan stegen ovan för att nå p=reject.
Vanliga frågor
Hur ställer jag in DMARC utan att bryta e-post?
Börja med p=none, som övervakar utan att påverka leveransen. Använd de samlade rapporterna för att autentisera alla legitima avsändare med SPF och DKIM , flytta sedan till karantän och avvisa slutligen. Det stegvisa tillvägagångssättet innebär att du aldrig verkställer förrän du har bekräftat riktiga postpass.
Hur länge ska jag stanna på p=none?
Tillräckligt lång för att se en fullständig bild av dina sändande källor, vanligtvis två till fyra veckor för de flesta organisationer. Om du skickar genom många tjänster eller har säsongsbetonade avsändare, vänta längre. Gå bara vidare när dina rapporter visar all legitim e-post som skickas och anpassas.
Vad är gränsen för SPF 10 DNS -sökning?
SPF utvärdering är begränsad till tio DNS uppslagningar. Om dina poster inkluderar och andra mekanismer utlöser mer än tio, returnerar SPF en permerror och misslyckas, vilket bryter DMARC justeringen. Att platta ut SPF -posten till direkta IP-adresser, till exempel med EmailAuth SmartSPF , håller dig under gränsen.
Behöver jag en separat DMARC post för underdomäner?
Inte nödvändigtvis. Underdomäner ärver organisationsdomänens policy om du inte ställer in sp-taggen eller publicerar en dedikerad post på _dmarc.subdomain. Använd sp för att tillämpa en annan policy på underdomäner, och skydda oanvända underdomäner uttryckligen så att de inte kan förfalskas.
[ DMARC guide ]
Företagets härkomst
Varför toppfinansiella institutioner och regeringar avvecklat sina instrumentpaneler för e-postsäkerhet.
Traditionella plattformar för e-postautentisering säljer dig en instrumentpanel och ber dina ingenjörer att göra jobbet. I miljöer med hög insats innebär manuell övervakning försenad tillämpning, konfigurationsdrift och oövervakade skuggdomäner.
EmailAuth är den agentiska e-postplattformen. Våra agenter verkställer p=reject, håll avsändare från tredje part i linje och flytta dina domäner till fulla RFC 9989 överensstämmelse, den nya DMARC standarden, med auditerbarhet för människor i slingan.
SaaS · Dedikerad hyresavtal · Air-gapped on-prem · BYOK-kryptering