Generator rekordu DMARC

Generator rekordu DMARC

DMARC (Domain-based Message Authentication, Reporting and Conformance) to standard ochrony poczty e-mail, który pozwala właścicielom domen kontrolować, jak serwery pocztowe traktują wiadomości niespełniające uwierzytelnienia SPF i DKIM. Nasz generator tworzy gotowy rekord TXT do wklejenia w strefę DNS.

Parametry rekordu DMARC

Rekord DMARC wstawiany jest jako wpis TXT pod nazwą _dmarc.twojadomena.pl. Najważniejsze tagi:

• v=DMARC1 – wersja protokołu (obowiązkowe).
• p=none|quarantine|reject – polityka dla wiadomości nieautentycznych.
• rua=mailto:… – adres e-mail do raportów zbiorczych (agregowanych).
• ruf=mailto:… – adres e-mail do raportów o pojedynczych błędach uwierzytelnienia.
• pct= – procent wiadomości objętych polityką (domyślnie 100).
• adkim=r|s – wyrównanie DKIM: relaxed (luźne) lub strict (ścisłe).
• aspf=r|s – wyrównanie SPF: relaxed lub strict.
• sp= – polityka dla subdomen (opcjonalnie).
• ri= – interwał wysyłania raportów w sekundach (domyślnie 86400 = 1 dzień).

Jak generator zamienia wybrane opcje na jeden rekord TXT

DMARC nie wykonuje własnego uwierzytelnienia. Serwer odbiorcy najpierw sprawdza SPF (czy serwer wysyłający jest uprawniony do domeny z adresu zwrotnego koperty) i DKIM (czy podpis kryptograficzny wiadomości jest poprawny oraz zgodny z domeną). Dopiero potem pobiera wpis TXT spod nazwy _dmarc.twojadomena.pl i na podstawie jego tagów decyduje, co zrobić z wiadomością. Wiadomość uznaje się za autentyczną w rozumieniu DMARC, gdy co najmniej jeden z tych mechanizmów przejdzie weryfikację i jednocześnie jego domena jest wyrównana z domeną widoczną w nagłówku From. Sam rekord DMARC niczego nie podpisuje ani nie szyfruje — jest instrukcją postępowania dla odbiorcy.

Generator działa jak prosty translator decyzji z formularza na składnię protokołu. Na początku zawsze trafia v=DMARC1, bo ten tag musi być pierwszy, żeby odbiorca w ogóle rozpoznał wpis jako DMARC. Dalej dokładane są tagi odpowiadające wybranym opcjom: polityka p, polityka dla subdomen sp, adresy raportów rua i ruf, procent ruchu objętego polityką pct, wyrównania adkim i aspf oraz interwał raportowania ri. Kolejność tagów po wersji nie ma znaczenia dla interpretera, ale generator układa je w stałej kolejności, żeby rekord był czytelny i łatwo było porównać go z dokumentacją. Pola puste są pomijane, więc rekord nie zawiera zbędnych fragmentów.

Wynikowy łańcuch trafia do strefy DNS pod nazwę _dmarc, a nie pod nazwę samej domeny — dlatego w treści rekordu nie powtarza się już pełnej nazwy domeny. Subdomeny bez własnego wpisu dziedziczą politykę z domeny nadrzędnej, chyba że ustawiono tag sp. Wartość pct działa probabilistycznie: dotyczy losowo wybieranego odsetka wiadomości, a pozostałe są traktowane tak, jakby polityki nie było. Tagi nierozpoznane przez danego odbiorcę są po cichu ignorowane, co oznacza, że ten sam rekord może być obsłużony nieco inaczej przez różne serwery pocztowe.

Przykład krok po kroku: wdrożenie DMARC dla sklep-przyklad.pl

1. Wpisz w generatorze domenę sklep-przyklad.pl — bez www, bez https i bez kropki na końcu. Nazwa domeny posłuży tylko do ustalenia, gdzie trafi wpis; w samej treści rekordu się nie pojawi.
2. Wybierz politykę p=none. To tryb monitorowania: wiadomości, które nie przejdą SPF lub DKIM, nadal dotrą do odbiorcy, ale informacja o nich znajdzie się w raportach.
3. W polu rua wpisz mailto:[email protected], a pole ruf zostaw puste. Raporty o pojedynczych błędach wysyła tylko część dostawców poczty i przy pierwszym wdrożeniu nie są potrzebne.
4. Ustaw wyrównanie adkim=r oraz aspf=r, czyli tryb relaxed. Zostaw pct=100, żeby polityka obejmowała cały ruch — przy p=none nie ma to jeszcze skutków dla dostarczalności.
5. Dla subdomen wybierz sp=quarantine. Dzięki temu newsletter.sklep-przyklad.pl i podobne adresy będą traktowane ostrzej niż domena główna, co pozwala wykryć wysyłkę z nieznanych subdomen.
6. Kliknij Generuj rekord. Otrzymasz linię: v=DMARC1; p=none; sp=quarantine; rua=mailto:[email protected]; pct=100; adkim=r; aspf=r; ri=86400. Wklej ją w panelu DNS jako wpis TXT o nazwie _dmarc, zapisz zmiany i po upływie czasu TTL sprawdź publicznie, czy rekord jest widoczny.

Tagi rekordu DMARC i ich praktyczne znaczenie

Jak użyć generatora bez psucia dostarczalności poczty

• Zacznij od p=none i raportów. Pierwszy rekord powinien tylko zbierać dane. Przejście na quarantine lub reject ma sens dopiero wtedy, gdy raporty pokażą, że legalna poczta przechodzi SPF i DKIM.
• Publikuj dokładnie jeden rekord DMARC. Dwa wpisy TXT pod tą samą nazwą _dmarc powodują, że wynik weryfikacji staje się nieprzewidywalny, a część odbiorców zignoruje oba.
• Nie łączyć DMARC z SPF w jednym wpisie. SPF ma własny prefiks v=spf1 i własną nazwę w strefie DNS. Sklejenie obu rekordów w jednym łańcuchu unieważnia oba mechanizmy.
• Ustawiaj sp dla subdomen. Jeśli wysyłasz pocztę z subdomen, polityka domeny głównej ich nie obejmuje w sposób, który łatwo przewidzieć — osobny tag sp czyni zachowanie jawnym.
• Sprawdź rekord po zapisaniu. Odpytaj DNS o wpis TXT pod _dmarc i upewnij się, że wartość jest zgodna z tym, co wygenerowało narzędzie, a nie z cache sprzed zmiany.

Czego generator nie sprawdzi

• Stanu strefy DNS. Narzędzie nie wie, czy w domenie działa SPF, czy podpisuje wiadomości DKIM i czy istnieje już stary wpis _dmarc, który trzeba usunąć.
• Poprawności adresów raportowych. Składnia mailto: zostanie zapisana, ale nikt nie potwierdzi, że skrzynka istnieje ani że dostawca raportów zaakceptuje taki adres jako źródło.
• Rzeczywistego ruchu w domenie. Bez danych z raportów nie da się ocenić, jaki odsetek legalnej poczty przechodzi uwierzytelnienie, więc zaostrzenie polityki jest decyzją poza narzędziem.
• Zachowania konkretnego odbiorcy. Nie każdy serwer pocztowy respektuje wszystkie tagi w równym stopniu, a polityka lokalna odbiorcy może nadpisać to, co nakazuje rekord.

Najczęstsze pytania