Tools
Je DMARC-record,
en het record dat je hierna publiceert.
Lees wat een domein vandaag publiceert, en bouw dan het record dat het verder brengt. Elke tag uitgelegd, niets verzonnen, en een waarschuwing overal waar een keuze stilletjes echte mail zou breken.
Bouw het record
Ontvangers veranderen niets en sturen je alleen rapporten. Vervalste mail komt nog steeds aan. Dit is een meetstand, geen bescherming.
Laat je het overerven, dan volgen subdomeinen het beleid hierboven. Zet je het zwakker, dan wordt mail.jouwdomein.com de weg naar binnen.
Een dagelijkse XML-samenvatting van alles wat in jouw naam is verstuurd. Elke mailbox op je eigen domein volstaat; scheid meerdere adressen met komma’s.
Kopieën van afzonderlijke mislukkingen. De meeste ontvangers sturen ze nooit, en wie het wel doet kan berichtinhoud meesturen. Laat het leeg tenzij je zeker weet dat je het wilt.
Relaxed laat een subdomein tekenen. Strict eist exact hetzelfde domein.
Strict hier is wat de meeste externe verzenders breekt.
TXT_dmarcv=DMARC1; p=none;De meeste registrars willen alleen _dmarc in het naamveld en plakken het domein er zelf achter. Een enkeling wil het geheel. Als je eindigt met een record op _dmarc.yourdomain.com.yourdomain.com, weet je welke van de twee de jouwe is.
- Geen adres voor aggregatierapporten. Je komt pas te weten wat dit beleid breekt wanneer iemand je vertelt dat zijn mail nooit is aangekomen.
Publiceer dit en laat het twee tot vier weken met rust. De aggregatierapporten noemen elke dienst die als jouw domein verstuurt. Repareer de diensten die falen terwijl ze dat niet zouden moeten, kom dan terug en ga naar quarantine.
Elke DMARC-tag
v=DMARC1- De versie, en die moet de eerste tag in het record zijn. Een record dat er niet mee opent wordt genegeerd.
p=none · quarantine · reject- Wat ontvangers moeten doen met mail die faalt. De enige verplichte tag naast v.
sp=none · quarantine · reject- Het beleid voor subdomeinen. Laat je het weg, dan erven subdomeinen p. Het zwakker zetten dan p is hoe domeinen via mail.acme.com vervalst worden.
pct=0–100- Het aandeel falende mail waarop het beleid wordt toegepast. Een oprit, geen instelling. Bij p=none doet het helemaal niets.
rua=mailto:-adres- Waar de dagelijkse aggregatierapporten heen gaan. Zonder dat handhaaf je blind, dus in de praktijk is het verplicht.
ruf=mailto:-adres- Forensische rapporten over afzonderlijke mislukkingen. Ze kunnen berichtinhoud bevatten, de meeste ontvangers sturen ze nooit, en bijna niemand heeft ze nodig.
adkim=r · s- Hoe nauw het DKIM-ondertekeningsdomein moet overeenkomen. Relaxed staat subdomeinen toe; strict eist exact hetzelfde domein.
aspf=r · s- Dezelfde vraag voor SPF. Strict breekt hier de meeste externe verzenders.
fo=0 · 1 · d · s- Wanneer een forensisch rapport gegenereerd moet worden. Alleen zinvol naast ruf.
ri=seconden- Hoe vaak aggregatierapporten gewenst zijn. Bijna iedereen laat dit op de standaard van 86400 (één dag).
Vragen die dit oproept
OpenEmail genereert dit record voor je.
Voeg een domein toe en je krijgt precies de MX-, SPF- en ondertekeningsrecords om te publiceren, vanaf het instellingenscherm gecontroleerd tot ze resolven. Het DMARC-record wordt ernaast gegenereerd en bewust aan jou gelaten om te publiceren. Het is een beleid over de mail die jij verstuurt, en niemand zou namens jou p=reject moeten kiezen.
