Modulis 4 · 4.5
DMARC: ko saņēmējiem darīt ar viltus pastu
Modulis 4: Ieraksti e-pastam · Lasīšanas laiks: 10 minūtes
Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet izskaidrot, kā DMARC apvieno SPF un DKIM, izveidot derīgu DMARC ierakstu un soli pa solim pastiprināt politiku.
Pamatjēdzieni: DMARC, _dmarc, v=DMARC1, politika p=none / quarantine / reject, saskaņošana (alignment), rua atskaites, sp= un np=, testa režīms t=, viens DMARC ieraksts
Trūkstošā daļa
SPF (4.3. nodarbība) pārbauda, no kura servera pasts nāk, bet skatās uz tehnisko envelope adresi. DKIM (4.4. nodarbība) pārbauda parakstu, bet tas var būt no jebkura domēna. Krāpnieks tātad var nosūtīt vēstuli ar "No: info@example.com", kas veiksmīgi iziet SPF pārbaudi savam domēnam un ir korekti parakstīta ar sava domēna parakstu.
DMARC (Domain-based Message Authentication, Reporting and Conformance) noslēdz šo loku. Tas uzdod vienu jautājumu: vai veiksmīgā SPF vai DKIM pārbaude attiecas uz domēnu, ko saņēmējs redz adresē "No:"? To sauc par saskaņošanu (alignment). Un Jūs pasakāt saņēmējiem, kas jādara, ja atbilde ir nē.
DMARC tika aprakstīts 2015. gadā RFC 7489. 2026. gada maijā kā oficiāls interneta standarts publicēta pārskatītā versija: RFC 9989 (ar RFC 9990 un 9991 atskaitēm). Esošie ieraksti ar v=DMARC1 paliek derīgi.
Kā saņēmējs pieņem lēmumu
Ja ienāk vēstule no sūtītāja info@example.com, saņēmējs rīkojas šādi:
- SPF: vai vēstule nāk no atļauta servera, un vai envelope domēns attiecas uz
example.com? - DKIM: vai ir derīgs paraksts, un vai parakstītājs domēns (
d=) attiecas uzexample.com? - DMARC: vai vismaz viens no šiem diviem ir veiksmīgs un saskaņots? Tad vēstule ir kārtībā. Ja nē, saņēmējs seko Jūsu politikai.
Pietiek ar vienu no diviem. Tāpēc DKIM ir tik svarīgs pakalpojumiem, kas sūta ar savu envelope adresi, piemēram, daudziem jaunumu vēstuļu pakalpojumiem: tur SPF gan ir veiksmīgs, bet ne Jūsu domēnam. Tikai DKIM paraksts ar d=example.com tad padara to kārtībā.
"Attiecas uz" pēc noklusējuma nozīmē: tas pats organizācijas domēns. nieuws.example.com attiecas uz example.com. To sauc par relaxed (brīvu) saskaņošanu. Ar adkim=s vai aspf=s (strict, stingru) domēnam jābūt tieši tādam pašam. Gandrīz visiem brīva saskaņošana ir piemērota.
Kā izskatās DMARC ieraksts?
DMARC ieraksts ir TXT ieraksts ar nosaukumu _dmarc Jūsu domēnā:
_dmarc.example.com. 3600 IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"Tas sastāv no daļām (tagiem), kas atdalītas ar semikolu.
| Tags | Nozīme |
|---|---|
v=DMARC1 | Šis ir DMARC ieraksts. Jābūt pirmajam. |
p= | Jūsu domēna politika: none, quarantine vai reject. |
rua=mailto:... | Neobligāti: adrese ikdienas kopsavilkuma atskaitēm. |
sp= | Neobligāti: cita politika apakšdomēniem, kas pastāv. |
np= | Neobligāti (jauns RFC 9989): politika apakšdomēniem, kas nepastāv, piemēram, factuur.example.com, ja Jūs to nekad neesat izveidojis. Krāpnieki šādus nosaukumus labprāt izmanto. |
adkim= / aspf= | Neobligāti: r (relaxed, brīva, noklusējums) vai s (strict, stingra). |
t=y | Neobligāti (jauns RFC 9989): testa režīms. Saņēmēji piemēro par vienu pakāpi vieglāku politiku. Aizstāj veco pct=. |
Politikas izvēle
| Politika | Ko dara saņēmējs |
|---|---|
p=none | Neko. Vēstule tiek piegādāta kā parasti. Jūs tomēr saņemat atskaites, ja aizpildāt rua. To sauc arī par monitoringu. |
p=quarantine | Vēstule, kas neatbilst, nonāk surogātpasta mapē. |
p=reject | Vēstule, kas neatbilst, tiek noraidīta. Labākā aizsardzība pret Jūsu vārda ļaunprātīgu izmantošanu. |
Saprātīga secība:
- Vispirms sakārtojiet SPF un DKIM visiem pakalpojumiem, kas sūta pastu Jūsu vārdā: Jūsu e-pasta pakalpojumu sniedzējam, Jūsu vietnei, Jūsu jaunumu vēstuļu pakalpojumam, Jūsu grāmatvedības programmai, Jūsu interneta veikalam.
- Sāciet ar
p=noneunruaadresi. Dažas nedēļas vērojiet atskaitēs, kuri pakalpojumi sūta pastu Jūsu domēna vārdā un vai tie ir veiksmīgi. - Pārejiet uz
p=quarantine, un, ja viss turpina labi noritēt, pārejiet uzp=reject.
Ja šaubāties, vai visi Jūsu pakalpojumi ir pareizi iestatīti, nepārejiet uzreiz uz reject. Aizmirsts pakalpojums (piemēram, programma, kas sūta Jūsu rēķinus) tad vairs nenonāks pie adresāta.
Dažas hostinga pakalpojumu sniedzējs uzņēmumi jaunam pakotnei uzreiz iestata stingru DMARC ierakstu (p=reject). Tas ir drošs, kamēr viss Jūsu pasts iet caur viņu serveriem. Ja sākat sūtīt pastu arī caur citiem pakalpojumiem, vispirms pārbaudiet šo pakalpojumu SPF un DKIM.
Atskaites
Ar rua=mailto:dmarc@example.com Jūs no lieliem saņēmējiem katru dienu saņemat kopsavilkumu (XML failu) par to, kurš sūtīja pastu Jūsu domēna vārdā un vai tas bija veiksmīgs. Noderīgi, bet tehniski. Izmantojiet tam atsevišķu adresi; drīz vien saņemsiet vairākas vēstules dienā. Ir pakalpojumi, kas padara atskaites salasāmas.
Ja sūtāt atskaites uz adresi citā domēnā (piemēram, atskaišu pakalpojumam), tad šim citam domēnam savā DNS jādod atļauja. Pakalpojums parasti to nokārto pats.
Biežāk pieļautās kļūdas
- Divi DMARC ieraksti. Uz
_dmarcdrīkst būt tikai viens. Ja ir divi, saņēmējs rīkojas tā, it kā Jums DMARC vispār nebūtu. Labojiet esošo ierakstu. - Uz nepareiza nosaukuma. Ieraksts jānovieto
_dmarc.example.com, nevis uz pašaexample.com. - Drukas kļūdas tagos.
p=rejectstrādā,p=rejectedvaipolicy=rejectnestrādā. Bez derīgap=ieraksts tiek uzskatīts parp=none. - DMARC ieslēgšana, pirms SPF un DKIM ir sakārtoti. Tad Jūs noraidāt savu paša pastu.
- Pārāk ātra atkārtota pārbaude pēc izmaiņām. DMARC ierakstam dažreiz ir ilgs TTL (piemēram, četras stundas). Pēc izmaiņām Jūs tātad vēl brīdi redzēsiet veco ierakstu.
Kāpēc tam ir nozīme
Kopš 2024. gada februāra Gmail un Yahoo no sūtītājiem, kas nosūta lielu pasta apjomu (vairāk nekā aptuveni 5000 vēstuļu dienā), pieprasa DMARC ierakstu, vismaz ar p=none, un to, lai SPF vai DKIM būtu saskaņoti veiksmīgi. Microsoft to pašu pieprasa kopš 2025. gada maija pakalpojumiem Outlook.com un Hotmail. Arī maziem sūtītājiem DMARC uzlabo piegādi un pasargā Jūsu klientus no viltus rēķiniem, kas sūtīti Jūsu vārdā.
Praksē: kā tas izskatās panelī
Šajā piemērā izmantojam DirectAdmin. Sadaļā DNS Administration noklikšķiniet uz zīmuļa aiz TXT ieraksta _dmarc, vai izveidojiet jaunu TXT ierakstu ar nosaukumu _dmarc un sadaļā TXT Record Type izvēlieties DMARC. Sadaļā Domain policy type izvēlieties None, Quarantine vai Reject; sadaļā Aggregate Email (RUA) pēc izvēles ievadiet atskaites adresi. Mans WebOké piedāvā līdzīgu DMARC palīgu DNS cilnē.
Ja Jūsu panelim nav šāda palīga, izveidojiet parastu TXT ierakstu uz _dmarc un ierakstiet tekstu pats. Rezultāts būs tāds pats.
Kopsavilkums
- DMARC pārbauda, vai SPF vai DKIM ir veiksmīgs domēnam adresē "No:" (saskaņošana).
- Ieraksts atrodas uz
_dmarc.<domēns>, sākas arv=DMARC1un tam ir politikap=none,quarantinevaireject. - Vispirms SPF un DKIM visiem pakalpojumiem, tad
p=nonear atskaitēm, tad pastiprināšana. - Tieši viens DMARC ieraksts uz domēnu.
Tests
Uzdevums
Uzdevums Z4.5: DMARC meklēšana. Atrodiet domēna sidn.nl (SIDN vietne, .nl reģistrs Nīderlandē) DMARC ierakstu (vai sava domēna). Ielīmējiet pilnu ierakstu un norādiet, kāda politika (p=) tajā norādīta.
Uzdevums O4.5: Pašrocīga iestatīšana savā vingrināšanās zonā. Vingrināšanās zonā Jūs sūtāt atskaites uz fiksētu vingrināšanās adresi; savā reālajā domēnā izmantojiet savu paša adresi. Izveidojiet savā vingrināšanās zonā <code>.dnspractice.euquarantine (vai none, ja vēlaties sākt ar monitoringu) un atskaitēm uz dmarc@dnspractice.eu (rua=mailto:dmarc@dnspractice.eu).
Uzdevums O4.5
Šo uzdevumu veicat savā vingrināšanās zonā: īstā DNS zonā uz WebOké vārdu serveriem, tikai Jums paredzētā. Pieteikšanās ar Jūsu e-pasta adresi. Jūs saņemsiet pieteikšanās saiti e-pastā un pēc tam atgriezīsieties šajā nodarbībā. Jūsu adresi izmantojam tikai šī kursa vajadzībām.
Papildu lasīšanai
Šajos rakstos aprakstītie soļi attiecas uz WebOké paneļiem; citos paneļos darbība ir līdzīga.
- Kas ir DMARC? Skaidrojums vienkāršā valodā
- DirectAdmin rokasgrāmata 5.9: DMARC iestatīšana
- DMARC ieraksta izveide DirectAdmin
- WebOké rokasgrāmata 5.5: DNS palīgi: MX, SPF, DMARC, CAA un SRV
- Publiska e-pasta pārbaude (SPF, DMARC, MX): https://www.weboke.lv/e-pasta-parbaude, un internet.nl pasta tests: https://internet.nl
- RFC 9989 (DMARC), RFC 9990 (atskaites); vēsturiski RFC 7489