Na _dmarc je publikováno víc DMARC záznamů
Co to je
Na jménu _dmarc jsou publikované dva nebo víc DMARC záznamů. Příjemci mezi nimi nevybírají. Podle standardu (RFC 9989, oddíl 4.10) nepoužijí žádný, takže doména nemá DMARC ochranu.
Dívali jsme se jen na veřejné DNS. Vidíme, co je publikované, ne jak ho jednotliví příjemci nakonec zpracují.
Pozor na záměnu: jeden záznam, který je v DNS panelu rozdělený do několika uvozovkových řetězců, je pořád jeden záznam. Tohle se týká dvou samostatných TXT záznamů.
Proč je to problém
Výsledek je stejný, jako kdyby DMARC chyběl. Nikdo nevynucuje vaši politiku a nechodí reporty.
- Kdokoli může posílat e-maily s vaší doménou v adrese odesílatele a příjemce nemá důvod je zahodit.
- Obvyklá příčina je nenápadná: starý záznam zůstal po změně poskytovatele pošty a nový průvodce přidal druhý.
- Záznam může patřit i nadřazené doméně, ne jen tomuto hostiteli. Když příkaz níže pro váš host nic nevrátí, spusťte ho i pro nadřazenou doménu (u
www.example.czje to_dmarc.example.cz).
Jak to opravit
Nechte jediný TXT záznam a ostatní smažte.
1. Vypište, co je publikované
dig +short TXT _dmarc.example.cz2. Sloučte do jednoho záznamu
Vyberte politiku, kterou skutečně chcete, a sjednoťte adresy pro reporty (rua). Pokud si nejste jistí, začněte měkce a po přečtení reportů politiku zpřísněte:
v=DMARC1; p=none; rua=mailto:dmarc@example.cz3. Smažte ostatní
V DNS panelu odstraňte všechny další TXT záznamy na _dmarc. Změna se projeví po vypršení TTL. Pak znovu spusťte příkaz výše: má vrátit právě jeden řádek.