Pod _dmarc opublikowano kilka rekordów DMARC
Co to jest
Pod nazwą _dmarc opublikowano dwa lub więcej rekordów DMARC. Odbiorcy nie wybierają żadnego z nich. Według standardu (RFC 9989, sekcja 4.10) nie stosują żadnego, więc domena nie ma ochrony DMARC.
Patrzyliśmy tylko na publiczny DNS. Widzimy, co jest opublikowane, a nie jak każdy odbiorca ostatecznie to przetworzy.
Nie myl tego: jeden rekord, który panel DNS dzieli na kilka ciągów w cudzysłowie, to nadal jeden rekord. Tu chodzi o osobne rekordy TXT.
Dlaczego to problem
Skutek jest taki sam, jakby DMARC nie było. Nikt nie egzekwuje Twojej polityki i nie przychodzą raporty.
- Każdy może wysyłać maile z Twoją domeną w adresie nadawcy, a odbiorca nie ma powodu ich odrzucić.
- Zwykła przyczyna jest niepozorna: stary rekord został po zmianie dostawcy poczty, a nowy kreator dodał drugi.
- Rekord może należeć do domeny nadrzędnej, a nie do tego hosta. Jeśli polecenie poniżej nic nie zwraca dla Twojego hosta, uruchom je też dla domeny nadrzędnej (dla
www.example.czto_dmarc.example.cz).
Jak to naprawić
Zostaw jeden rekord TXT, a pozostałe usuń.
1. Wypisz, co jest opublikowane
dig +short TXT _dmarc.example.cz2. Połącz w jeden rekord
Wybierz politykę, której naprawdę chcesz, i ujednolić adresy raportów (rua). Jeśli nie jesteś pewien, zacznij łagodnie i zaostrz politykę po przeczytaniu raportów:
v=DMARC1; p=none; rua=mailto:dmarc@example.cz3. Usuń resztę
W panelu DNS usuń wszystkie inne rekordy TXT pod _dmarc. Zmiana zadziała po wygaśnięciu TTL. Potem uruchom powyższe polecenie ponownie: powinno zwrócić dokładnie jedną linię.