DMARC jest opublikowany, ale nie wyraża preferencji (p=none)

Co to jest

Twoja domena ma prawidłowy rekord DMARC i brzmi on p=none. To polityka monitorująca: wobec poczty, która nie przechodzi DMARC, nie wyraża żadnej preferencji (RFC 9989, sekcja 4.7), więc każdy odbiorca dalej filtruje według własnego uznania.

Rekord nie jest błędny i jako pierwszy krok ma sens — dostajesz raporty na rua=. To jednak jeszcze nie ochrona: nic w nim nie utrudnia dostarczenia poczty podrobionej w imieniu Twojej domeny.

Tryb testowy: p=quarantine; t=y

Rekord publikujący p=quarantine razem z t=y wygląda na egzekwowanie, ale odbiorcy, którzy przyjęli RFC 9989, traktują tryb testowy jak p=none. Dopóki nie usuniesz t=y, Twoja opublikowana polityka tam nie obowiązuje.

Jak iść dalej

  1. Czytaj raporty zbiorcze przychodzące na adres z rua=, aż każdy legalny nadawca (serwer poczty, narzędzie do newslettera, system fakturowania) przejdzie dopasowanie SPF lub DKIM.
  2. Popraw istniejący rekord, nie dodawaj drugiego — dwa rekordy pod _dmarc znoszą się nawzajem. Zmień p=none na p=quarantine albo usuń t=y.
  3. Gdy nic legalnego nie trafia do kwarantanny, możesz przejść na p=reject. Który wariant pasuje, zależy od Twoich przepływów poczty.
przed: v=DMARC1; p=none; rua=mailto:dmarc@example.cz
po:    v=DMARC1; p=quarantine; rua=mailto:dmarc@example.cz

Wdrażanie krok po kroku opisuje artykuł Domena nie ma rekordu DMARC. Wynik sprawdzisz nowym skanem na vulscan.app.

Referencje