DMARC pas cu pas: de la „doar observă” la protecție reală

Ce vei reuși

• primești rapoartele DMARC și înțelegi ce spun;
• găsești toate serviciile care trimit în numele domeniului tău;
• treci de la p=none la p=quarantine și apoi la p=reject, fără să pierzi mesaje bune.

Înainte să începi

• SPF și DKIM trec pentru mesajele trimise de pe serverul nostru: în Enhance, la „Emails”, ambele apar „Valid”.
• Ai lista serviciilor care trimit „de la” domeniul tău: programul de facturare, platforma de newsletter, magazinul, CRM-ul, formularele (vezi pasul 3 din De ce ajung mailurile mele în spam: SPF, DKIM, DMARC).
• Unde e DNS-ul domeniului: la noi (editorul din Enhance, vezi Editorul de zonă DNS: A, CNAME, MX și TXT) sau la alt furnizor (acolo faci aceleași modificări).
• Denumirile din Enhance sunt în engleză, exact cum apar pe ecran. Dacă panoul e în română, îl treci pe engleză din dreapta sus: „My account” » „Language”.

Cum se citește o înregistrare DMARC

v=DMARC1; p=none; rua=mailto:dmarc@domeniul-tau.ro

• p= — politica: none (doar observă), quarantine (pune mesajele care pică în spam), reject (respinge-le);
• rua= — adresa la care serverele mari (Gmail, Outlook, Yahoo și altele) îți trimit rapoarte zilnice: câte mesaje au văzut „de la” domeniul tău, de pe ce servere și dacă au trecut verificările.

Un mesaj trece DMARC dacă trece SPF sau DKIM și domeniul verificat e același cu cel din „De la”. Un serviciu extern care semnează cu DKIM-ul lui, nu cu al tău, poate trece SPF și tot să pice DMARC.

Pașii

A. Pornești rapoartele

1. În Enhance, creează o adresă doar pentru rapoarte, de exemplu dmarc@domeniul-tau.ro (vezi Cum creezi un cont de email în Enhance). Rapoartele sunt fișiere atașate, multe și zilnice; nu le amesteca cu emailul de lucru.
2. Deschide zona DNS: „Websites” » site-ul » „Domains” » „Manage” lângă domeniu » „DNS records”.
3. Găsește înregistrarea TXT cu numele _dmarc, apasă „⋯” » „Edit” și schimbă „Value” în:

   v=DMARC1; p=none; rua=mailto:dmarc@domeniul-tau.ro

4. Apasă „Save”. Primele rapoarte vin în 1–2 zile.

B. Citești rapoartele, 2–4 săptămâni

5. Rapoartele sunt fișiere XML comprimate (.zip sau .gz), câte unul de la fiecare furnizor, pe zi. Le poți deschide cu un editor de text, dar e mai ușor cu un analizor de rapoarte DMARC: există servicii online, multe cu un plan gratuit pentru un domeniu mic.
6. Pentru fiecare server care apare în rapoarte, întreabă-te: îl cunosc?
   • serverul nostru (server.nbt-host.com, adresa 185.230.138.193): mesajele tale obișnuite;
   • un serviciu pe care îl folosești, dar care pică: configurează-l (pasul 7);
   • un server pe care nu-l cunoști: de obicei, cineva care încearcă să trimită falsuri în numele tău. Exact pe acestea le va opri DMARC.
7. Pentru fiecare serviciu cunoscut care pică, adaugă-l în SPF și, mai ales, pune DKIM-ul lui pe domeniul tău, cu înregistrarea pe care ți-o dă (pașii în De ce ajung mailurile mele în spam: SPF, DKIM, DMARC, pasul 3). Cu DKIM pe domeniul tău, serviciul trece DMARC și după o redirecționare.

C. Strângi politica

8. Când rapoartele arată că toate serviciile tale trec, schimbă politica în quarantine:

   v=DMARC1; p=quarantine; rua=mailto:dmarc@domeniul-tau.ro

9. Urmărește rapoartele încă 2–4 săptămâni. Dacă un serviciu legitim apare cu mesaje care pică, repară-l înainte să mergi mai departe.

10. Apoi treci pe reject:

    v=DMARC1; p=reject; rua=mailto:dmarc@domeniul-tau.ro

    De acum, mesajele care pretind că vin de la domeniul tău și nu trec verificările sunt respinse de serverele care respectă DMARC.

D. Subdomeniile

11. Politica se aplică și subdomeniilor, dacă nu au DMARC-ul lor. Dacă un serviciu trimite de pe un subdomeniu (de exemplu news.domeniul-tau.ro), verifică-l separat în rapoarte.

Dacă ceva nu merge

• Nu vin rapoarte. Verifică cu Dig (https://toolbox.googleapps.com/apps/dig/, tipul TXT, numele _dmarc.domeniul-tau.ro) că înregistrarea are rua= și că adresa există. Unii furnizori trimit rapoarte doar dacă au văzut mesaje de la tine în ziua aceea.
• Ai trecut pe quarantine sau reject și un serviciu nu mai ajunge la clienți. Întoarce-te la p=none, repară SPF-ul sau DKIM-ul serviciului și reia de la pasul 8.
• Mesajele redirecționate automat pică. O redirecționare păstrează de obicei semnătura DKIM, dar strică SPF-ul. Cu DKIM pornit pe domeniu (îl pornim noi pe domeniul principal), mesajele trec în continuare.
• Rapoartele umplu căsuța. Mărește spațiul adresei de rapoarte sau șterge-le pe cele vechi, după ce le-ai citit (vezi Cât spațiu folosești și ce ocupă loc).
• Ai mai multe înregistrări _dmarc. Trebuie să fie una singură. Șterge-o pe cea în plus.