Bei _dmarc sind mehrere DMARC-Einträge veröffentlicht
Worum es geht
Unter dem Namen _dmarc sind zwei oder mehr DMARC-Einträge veröffentlicht. Empfänger wählen keinen davon aus. Nach dem Standard (RFC 9989, Abschnitt 4.10) wenden sie keinen an, die Domain hat also keinen DMARC-Schutz.
Wir haben nur das öffentliche DNS betrachtet. Wir sehen, was veröffentlicht ist, nicht wie jeder Empfänger es am Ende verarbeitet.
Nicht verwechseln: Ein einzelner Eintrag, den Ihr DNS-Panel in mehrere Zeichenketten in Anführungszeichen aufteilt, bleibt ein Eintrag. Hier geht es um getrennte TXT-Einträge.
Warum das ein Problem ist
Das Ergebnis ist dasselbe, als gäbe es kein DMARC. Niemand setzt Ihre Richtlinie durch, und es kommen keine Berichte an.
- Jeder kann Mails mit Ihrer Domain als Absender verschicken, und der Empfänger hat keinen Grund, sie zu verwerfen.
- Die übliche Ursache ist unauffällig: Ein alter Eintrag blieb nach dem Wechsel des Mailanbieters stehen, und ein neuer Einrichtungsassistent hat einen zweiten angelegt.
- Der Eintrag kann zur übergeordneten Domain gehören statt zu diesem Host. Liefert der Befehl unten für Ihren Host nichts, führen Sie ihn auch für die übergeordnete Domain aus (bei
www.example.czist das_dmarc.example.cz).
Wie Sie es beheben
Behalten Sie einen einzigen TXT-Eintrag und löschen Sie die übrigen.
1. Auflisten, was veröffentlicht ist
dig +short TXT _dmarc.example.cz2. Zu einem Eintrag zusammenführen
Wählen Sie die Richtlinie, die Sie wirklich wollen, und vereinheitlichen Sie die Berichtsadressen (rua). Wenn Sie unsicher sind, starten Sie weich und verschärfen Sie die Richtlinie, nachdem Sie die Berichte gelesen haben:
v=DMARC1; p=none; rua=mailto:dmarc@example.cz3. Den Rest löschen
Entfernen Sie im DNS-Panel alle weiteren TXT-Einträge bei _dmarc. Die Änderung wirkt nach Ablauf der TTL. Führen Sie dann den obigen Befehl erneut aus: Er sollte genau eine Zeile liefern.