DMARC: čo majú príjemcovia robiť s podvodnou poštou

Modul 4: Záznamy pre e-mail · Čas čítania: 10 min

Cieľ lekcie: Po tejto lekcii dokážete vysvetliť, ako DMARC kombinuje SPF a DKIM, zostaviť platný DMARC záznam a postupne sprísniť politiku.

Kľúčové pojmy: DMARC, _dmarc, v=DMARC1, politika p=none / quarantine / reject, zarovnanie (alignment), rua reporty, sp= a np=, testovací režim t=, jeden DMARC záznam

Chýbajúci kúsok

SPF (lekcia 4.3) kontroluje, z akého servera pošta prichádza, ale pozerá sa na technickú obálkovú adresu (envelope). DKIM (lekcia 4.4) kontroluje podpis, ale ten môže patriť akejkoľvek doméne. Podvodník teda môže poslať mail s "Od: info@example.com", ktorý bez problémov prejde SPF kontrolou pre svoju vlastnú doménu a je riadne podpísaný svojou vlastnou doménou.

DMARC (Domain-based Message Authentication, Reporting and Conformance) uzatvára tento kruh. Kladie jednu otázku: patrí úspešná SPF alebo DKIM kontrola k doméne, ktorú príjemca vidí v adrese "Od:"? Tomu sa hovorí zarovnanie (alignment). A vy príjemcom poviete, čo majú robiť, ak je odpoveď nie.

DMARC bol opísaný v roku 2015 v RFC 7489. V máji 2026 vyšla revidovaná verzia ako oficiálny internetový štandard: RFC 9989 (s RFC 9990 a 9991 pre reporty). Existujúce záznamy s v=DMARC1 zostávajú platné.

Ako sa príjemca rozhoduje

Keď príde mail s odosielateľom info@example.com, príjemca postupuje takto:

1. SPF: prichádza mail z povoleného servera a patrí obálková doména k example.com?
2. DKIM: existuje platný podpis a patrí podpisujúca doména (d=) k example.com?
3. DMARC: uspel aspoň jeden z týchto dvoch a zároveň je zarovnaný? Potom je mail v poriadku. Ak nie, príjemca postupuje podľa vašej politiky.

Stačí jedno z dvoch. Preto je DKIM taký dôležitý pre služby, ktoré odosielajú s vlastnou obálkovou adresou, ako mnohé služby na rozosielanie newsletterov: tam SPF uspeje, ale nie pre vašu doménu. Len DKIM podpis s d=example.com to vtedy uvedie do poriadku.

"Patrí k" znamená štandardne: rovnaká organizačná doména. nieuws.example.com patrí k example.com. Tomu sa hovorí relaxed (voľné) zarovnanie. S adkim=s alebo aspf=s (strict, prísne) musí ísť o presne tú istú doménu. Pre takmer každého je voľné zarovnanie postačujúce.

Ako vyzerá DMARC záznam?

DMARC záznam je TXT záznam na názve _dmarc vašej domény:

_dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

Skladá sa z častí (tagov) oddelených bodkočiarkou.

Výber politiky

Rozumný postup:

1. Najprv dajte do poriadku SPF a DKIM pre všetky služby, ktoré posielajú poštu vo vašom mene: váš poskytovateľ e-mailu, vaša webová stránka, služba na rozosielanie newsletterov, účtovný program, e-shop.
2. Začnite s p=none a adresou rua. Niekoľko týždňov sledujte reporty, aby ste zistili, ktoré služby posielajú poštu vo vašom mene a či uspejú.
3. Prejdite na p=quarantine, a ak všetko funguje dobre, prejdite na p=reject.

Ak si nie ste istí, že všetky vaše služby sú správne nastavené, neprechádzajte hneď na reject. Zabudnutá služba (napríklad program, ktorý rozosiela vaše faktúry) by sa potom už nedoručila.

Niektoré hostingové spoločnosti nastavia pri novom balíku hneď prísny DMARC záznam (p=reject). To je bezpečné, pokiaľ všetka vaša pošta ide cez ich servery. Ak začnete posielať poštu aj cez iné služby, najprv skontrolujte SPF a DKIM týchto služieb.

Reporty

S rua=mailto:dmarc@example.com dostávate od veľkých príjemcov denne prehľad (XML súbor) o tom, kto posielal poštu vo vašom mene a či uspel. Užitočné, ale technické. Použite na to osobitnú adresu, pretože rýchlo dostanete niekoľko reportov denne. Existujú služby, ktoré reporty spracujú do čitateľnej podoby.

Ak posielate reporty na adresu v inej doméne (napríklad reportovacia služba), musí táto doména vo svojom DNS udeliť súhlas. Služba to zvyčajne vybaví sama.

Časté chyby

• Dva DMARC záznamy. Na _dmarc smie byť iba jeden. Pri dvoch príjemca postupuje, akoby ste DMARC vôbec nemali. Upravte existujúci záznam.
• Na nesprávnom názve. Záznam patrí na _dmarc.example.com, nie na samotné example.com.
• Preklepy v tagoch. p=reject funguje, p=rejected alebo policy=reject nie. Bez platného p= sa záznam počíta ako p=none.
• Zapnutie DMARC pred tým, ako sú SPF a DKIM v poriadku. Tým odmietnete vlastnú poštu.
• Priskoré kontrolovanie po zmene. DMARC záznam má niekedy dlhú TTL (napríklad štyri hodiny). Po zmene teda ešte chvíľu uvidíte starý záznam.

Prečo na tom záleží

Od februára 2024 vyžadujú Gmail a Yahoo od odosielateľov veľkého objemu pošty (viac než približne 5 000 denne) DMARC záznam, minimálne s p=none, a aby SPF alebo DKIM zarovnane uspeli. Microsoft vyžaduje to isté od mája 2025 pre Outlook.com a Hotmail. Aj pre malých odosielateľov DMARC zlepšuje doručiteľnosť a chráni vašich zákazníkov pred podvodnými faktúrami vo vašom mene.

V praxi: ako to vyzerá v paneli

V tomto príklade používame DirectAdmin. V sekcii DNS správa kliknete na ceruzku za TXT záznamom _dmarc, alebo vytvoríte nový TXT záznam s názvom _dmarc a pri položke Typ záznamu TXT zvolíte DMARC. Pri položke Typ doménové politiky zvolíte Žiadne, Karanténa alebo Odmietnuť; pri položke Agregovaný Email (RUA) prípadne vyplníte adresu na reporty. Môj WebOké má podobného DMARC pomocníka na karte DNS.

Ak váš panel takého pomocníka nemá, vytvoríte bežný TXT záznam na _dmarc a text napíšete sami. Výsledok je rovnaký.

Zhrnutie

• DMARC kontroluje, či SPF alebo DKIM uspeje pre doménu v adrese "Od:" (zarovnanie).
• Záznam je na _dmarc.<doména>, začína sa v=DMARC1 a má politiku p=none, quarantine alebo reject.
• Najprv SPF a DKIM pre všetky služby, potom p=none s reportami, následne sprísnenie.
• Presne jeden DMARC záznam na doménu.

Kvíz

Úloha

Úloha Z4.5: Vyhľadanie DMARC. Vyhľadajte DMARC záznam domény sidn.nl (webovej stránky SIDN, registra domény .nl v Holandsku) alebo svojej vlastnej domény. Vložte celý záznam a doplňte, aká politika (p=) je v ňom nastavená.

Úloha O4.5: Vlastné nastavenie vo svojej cvičnej zóne. V cvičnej zóne posielate reporty na pevnú cvičnú adresu; pri svojej skutočnej doméne použijete vlastnú adresu. Vo svojej cvičnej zóne <code>.dnspractice.eu vytvorte DMARC záznam s politikou quarantine (alebo none, ak chcete začať monitorovaním) a reportmi na dmarc@dnspractice.eu (rua=mailto:dmarc@dnspractice.eu).

Ďalšie čítanie

Kroky v týchto článkoch platia pre panely WebOké; v iných paneloch je postup podobný.

• Čo je DMARC? Vysvetlenie v jednoduchom jazyku
• Návod na DirectAdmin 5.9: DMARC nastavenie
• Vytvorenie záznamu DMARC v DirectAdmin
• Príručka WebOké 5.5: DNS pomôcky: MX, SPF, DMARC, CAA a SRV
• Verejná kontrola e-mailu (SPF, DMARC, MX): https://www.weboke.sk/kontrola-e-mailu, a mailový test od internet.nl: https://internet.nl
• RFC 9989 (DMARC), RFC 9990 (reporty); historicky RFC 7489