Na _dmarc je publikovaných viac DMARC záznamov
Čo to je
Na mene _dmarc sú publikované dva alebo viac DMARC záznamov. Príjemcovia si nevyberajú, ktorý z nich platí. Podľa štandardu (RFC 9989, oddiel 4.10) nepoužijú žiadny, takže doména nemá DMARC ochranu.
Pozerali sme sa len na verejné DNS. Vidíme, čo je publikované, nie ako ho jednotliví príjemcovia nakoniec spracujú.
Pozor na zámenu: jeden záznam, ktorý je v DNS paneli rozdelený do viacerých úvodzovkových reťazcov, je stále jeden záznam. Toto sa týka dvoch samostatných TXT záznamov.
Prečo je to problém
Výsledok je rovnaký, ako keby DMARC chýbal. Nikto nevynucuje vašu politiku a nechodia reporty.
- Ktokoľvek môže posielať e-maily s vašou doménou v adrese odosielateľa a príjemca nemá dôvod ich zahodiť.
- Obvyklá príčina je nenápadná: starý záznam zostal po zmene poskytovateľa pošty a nový sprievodca pridal druhý.
- Záznam môže patriť aj nadradenej doméne, nielen tomuto hostiteľovi. Ak príkaz nižšie pre váš host nič nevráti, spustite ho aj pre nadradenú doménu (pri
www.example.czje to_dmarc.example.cz).
Ako to opraviť
Nechajte jediný TXT záznam a ostatné zmažte.
1. Vypíšte, čo je publikované
dig +short TXT _dmarc.example.cz2. Zlúčte do jedného záznamu
Vyberte politiku, ktorú naozaj chcete, a zjednoťte adresy pre reporty (rua). Ak si nie ste istí, začnite mäkko a po prečítaní reportov politiku sprísnite:
v=DMARC1; p=none; rua=mailto:dmarc@example.cz3. Zmažte ostatné
V DNS paneli odstráňte všetky ďalšie TXT záznamy na _dmarc. Zmena sa prejaví po vypršaní TTL. Potom príkaz vyššie spustite znova: má vrátiť presne jeden riadok.