Zavádzanie DMARC: od none k reject

Modul 4: Doručiteľnosť: SPF, DKIM a DMARC v praxi · Čas čítania: 12 minút

Cieľ lekcie: Po tejto lekcii viete vysvetliť, ako funguje zarovnanie (alignment), naplánovať zavedenie DMARC po fázach z p=none na p=reject, zvoliť správne značky (rua, sp, np, t) a zvládnuť známe úskalia pri presmerovaní a mailing listoch.

Kľúčové pojmy: DMARC (RFC 9989), Author Domain (doména v poli Od), zarovnanie (alignment), relaxed a strict (adkim, aspf), organizačná doména, DNS tree walk, p=none, p=quarantine, p=reject, rua, sp, np, t=y (testovací režim), zastarané značky pct, rf, ri, mailing listy, prepisovanie poľa From, ARC

Čo presne DMARC kontroluje

DMARC pri každom prichádzajúcom e-maile zodpovedá jednu otázku: uspel SPF alebo DKIM pre doménu, ktorá patrí k adrese Od? Doména v adrese Od sa v štandarde nazýva Author Domain. Základ záznamu nájdete v kurze DNS, lekcia 4.5. V máji 2026 vyšiel revidovaný štandard: RFC 9989, s RFC 9990 pre súhrnné (agregované) reporty a RFC 9991 pre reporty o chybách. Existujúce záznamy s v=DMARC1 ostávajú naďalej platné.

Zarovnanie v praxi

To, že doména "patrí k" inej doméne, sa nazýva zarovnanie (alignment). Existujú dva režimy:

• relaxed (predvolené): domény majú rovnakú organizačnú doménu. nieuws.example.com a example.com sú zarovnané; example.com a example.net nie.
• strict (adkim=s alebo aspf=s): domény musia byť presne rovnaké.

Pri SPF porovnáva DMARC doménu z Return-Path s doménou v poli Od. Pri DKIM doménu d= z platného podpisu. Niekoľko príkladov pre e-mail s Van: info@example.com:

Nechajte teda adkim a aspf na relaxed, pokiaľ na to nemáte dobrý dôvod.

Ako príjemca zistí, čo je organizačná doména? Kedysi sa na to používal Public Suffix List, zoznam domén ako .nl, .co.uk a github.io. RFC 9989 to nahrádza DNS tree walk: príjemca vyhľadáva záznamy _dmarc danej domény a nadradených domén. Pre bežného používateľa sa nič nemení; rozdiel pocítite len ak pracujete so záznamami na subdoménach.

Zavedenie v štyroch fázach

Cieľom je p=reject: vtedy príjemcovia odmietnu poštu, ktorá sa vydáva za vás, a to je najlepšia ochrana proti falošným faktúram a phishingu vo vašom mene. Kto však prejde na reject hneď, bez toho aby poznal svojich odosielateľov, čoskoro odmietne aj svoje vlastné faktúry. Preto odporúčame toto poradie (odporúčaný postup tohto kurzu):

Fáza 0: príprava

• Vytvorte si zoznam všetkých vašich odosielateľov (lekcia 4.2).
• Zabezpečte, aby mal každý odosielateľ zarovnaný SPF alebo DKIM; najlepšie DKIM, pretože ten prežije presmerovanie.
• Vytvorte samostatnú adresu pre reporty, napríklad dmarc@example.com, alebo použite službu na spracovanie reportov. Pomerne rýchlo začnete dostávať niekoľko reportov denne.

Fáza 1: meranie s p=none

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

p=none so samotnou poštou nič nerobí. Príjemcovia doručujú všetko ako doteraz, ale denne vám posielajú súhrnný report (aggregate report) so zoznamom všetkých serverov, ktoré odosielali v mene vašej domény, a s informáciou, či uspeli SPF, DKIM a DMARC. Tým zároveň splníte minimálnu požiadavku Gmailu, Yahoo a Microsoftu pre hromadných odosielateľov (lekcia 5.3).

Nechajte to takto aspoň dva až štyri týždne, dlhšie ak máte služby, ktoré posielajú poštu len občas (ročná pripomienka, štvrťročná faktúra). Prečítajte si reporty (lekcia 4.5) a opravte každý vlastný zdroj, ktorý zlyháva.

Fáza 2: p=quarantine

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

Pošta, ktorá neprejde cez DMARC, putuje u príjemcu do priečinka so spamom. Ak zabudnete na nejaký zdroj, pošta sa nestratí, ale ťažšie sa nájde. Ak chcete postupovať opatrne, pridajte najskôr t=y (testovací režim): príjemcovia vtedy uplatňujú o stupeň miernejšie pravidlo (pri quarantine teda none), ale v reportoch vidíte, čo by sa stalo. Toto v RFC 9989 nahrádza starú značku pct=.

Opäť niekoľko týždňov sledujte reporty.

Fáza 3: p=reject

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@example.com"

Pošta, ktorá neprejde cez DMARC, sa odmietne. Odosielateľ dostane bounce, napríklad u Microsoftu s kódom 5.7.509 a u Gmailu s odkazom na politiku DMARC (modul 6). Reporty naďalej sledujte: nové služby pribúdajú stále.

Kedy to môže ísť rýchlejšie?

Ide všetka vaša pošta cez jedného poskytovateľa, ktorý za vás zabezpečuje SPF a DKIM, a nikto iný v mene vašej domény neposiela nič? Potom môžete nasadiť prísnu politiku hneď. Niektoré hostingové firmy preto predvolene nastavujú p=reject. Ak sa potom rozhodnete používať newsletterovú službu alebo účtovný program, nastavte to najskôr dočasne naspäť na p=none s adresou na reporty, kým sa daná služba poriadne nenastaví.

Ostatné značky

Adresa na reporty na inej doméne (napríklad u reportovacej služby) funguje len vtedy, ak táto doména udelí súhlas pomocou záznamu ako example.com._report._dmarc.rapportdienst.example. Danú službu zväčša nastavuje samotný poskytovateľ (RFC 9990, kapitola 4).

Úskalia

Mailing listy

Klasický mailing list rozposiela vašu poštu všetkým členom zo svojho vlastného servera a často pridáva [zoznam] do predmetu alebo pätičku na koniec. Vtedy zlyhá SPF (iný server) aj DKIM (upravená pošta). Pri p=reject príjemcovia odmietnu vašu správu adresovanú zoznamu. Moderný softvér na správu zoznamov to rieši prepísaním adresy Od na adresu zoznamu ("Jan via Leden"), alebo nezmeneným preposlaním pošty. Ak používate zoznam, ktorý to nerobí, uvidíte to vo svojich reportoch.

Presmerovanie

Pozrite lekciu 3.3: SPF sa poruší, DKIM väčšinou prežije. Príjemca sa pomocou ARC môže rozhodnúť dôverovať známemu nástroju na presmerovanie. V reportoch to spoznáte ako poštu z neznámeho servera s DKIM pass a SPF fail; to nie je dôvod na zmiernenie vašej politiky.

Dva záznamy alebo preklep

Dva DMARC záznamy na _dmarc robia politiku neplatnou, a preklep v p= tiež (p=rejected neexistuje). Po každej zmene skontrolujte výsledok.

V praxi: ako to vyzerá v paneli

Pri hostingovom balíku WebOké je predvolene nastavené v=DMARC1;p=reject, bez adresy na reporty. To je bezpečné, ak všetka vaša pošta ide cez tieto servery. Ak posielate poštu aj cez iné služby, nastavte p=none s adresou rua a postupne prejdite jednotlivé fázy. V DirectAdmin to urobíte v časti DNS správa, ceruzkou pri zázname _dmarc (polia Typ doménové politiky a Agregovaný Email (RUA)); v Môj WebOké pomocou pomocníka DMARC na karte DNS. U iných poskytovateľov vytvoríte TXT záznam s názvom _dmarc a text napíšete sami; výsledok je rovnaký.

Zhrnutie

• DMARC uspeje, ak uspeje SPF alebo DKIM pre doménu zarovnanú s doménou v poli Od; relaxed zarovnanie akceptuje subdomény.
• Zavedenie: zoznam odosielateľov, p=none s rua a čítanie reportov, p=quarantine (prípadne s t=y), a potom p=reject.
• Použite np=reject pre neexistujúce subdomény, hneď ako je hlavná politika prísna. pct, rf a ri sú zastarané.
• Mailing listy a presmerovanie spôsobujú očakávané chyby; DKIM a ARC časť z nich zachytia.
• Presne jeden záznam na _dmarc, bez preklepov.

Kvíz

Úloha

Úloha Z4.4: Kontrola DMARC vašej domény a výber ďalšieho kroku. Vyplňte svoju vlastnú doménu (alebo internet.nl). Vyplňte DMARC záznam presne tak, ako ste ho našli, hodnotu p= a či obsahuje adresu rua. Potom vyberte, ktorú fázu zavádzania považujete za ďalší krok, a prečo. Program si záznam vyžiada naživo, skontroluje syntax podľa RFC 9989 (jeden záznam, platné p, známe značky, zastarané značky ako upozornenie) a priradí k nim vaše odpovede.

Ďalšie čítanie

Kroky v týchto článkoch platia pre panely WebOké; u iných poskytovateľov to funguje porovnateľne.

• Bezplatný kurz DNS 4.5: DMARC: čo majú príjemcovia robiť s podvodnou poštou
• Návod na DirectAdmin 5.9: DMARC nastavenie
• Čo je DMARC? Vysvetlenie v jednoduchom jazyku
• Vytvorenie záznamu DMARC v DirectAdmin
• RFC 9989 (DMARC), konkrétne časť 4.7 (značky) a príloha C (zmeny od RFC 7489)