Was DMARC zusätzlich zu SPF und DKIM leistet
SPF und DKIM belegen jeweils etwas über eine Nachricht, aber keines von beiden prüft die Domain, die der Empfänger tatsächlich im Absender-Header sieht. DMARC schließt diese Lücke. Es verlangt, dass die Domain, die SPF oder DKIM bestanden hat, zur Absender-Domain ausgerichtet ist, und es sagt Empfängern, was bei einem Fehlschlag zu tun ist: trotzdem zustellen (none), in den Spam schicken (quarantine) oder abweisen (reject).
Außerdem bittet es Empfänger, Ihnen aggregierte Reports zu senden, die jede Quelle beschreiben, die als Ihre Domain sendet, und ob sie bestanden hat. Für den Cold-E-Mail-Betrieb ist DMARC das Mittel, mit dem Sie Spoofing durch Lookalike-Domains stoppen und ein falsch konfiguriertes Tool bemerken, bevor es eine Domain verbrennt.
_dmarc.yourdomain.com TXT
v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100Von p=none über quarantine zu reject
Starten Sie bei p=none mit einer rua-Adresse. An der Zustellung ändert sich nichts, aber innerhalb weniger Tage erhalten Sie XML-Reports, die jede IP auflisten, die Mail mit Ihrer Domain gesendet hat. Prüfen Sie, dass Ihr Postfach-Anbieter, Ihr Versand-Tool und jedes CRM mit korrekter Ausrichtung bestehen. Sobald nur noch erwartete Quellen auftauchen und alle bestehen, wechseln Sie auf p=quarantine.
Bleiben Sie ein paar Wochen bei quarantine. Wenn nichts Legitimes in Quarantäne landet, wechseln Sie auf p=reject. Gmail und Yahoo verlangen von Massenversendern mindestens p=none, Empfänger rechnen durchgesetzte Richtlinien aber höher an, und reject ist die einzige Einstellung, die Spoofing vollständig stoppt.
- Nutzen Sie pct=25 oder pct=50, um quarantine schrittweise auszurollen, falls Sie unsicher sind.
- Setzen Sie sp=, wenn Subdomains eine andere Richtlinie brauchen, sonst erben sie p.
- Lassen Sie adkim und aspf auf relaxed, außer jeder Absender nutzt exakt die Absender-Domain.
- Lesen Sie die Reports erneut, sobald Sie ein neues Versand-Tool hinzufügen.
Die Tags, auf die es ankommt
Der Eintrag ist eine Liste aus tag=wert-Paaren, getrennt durch Semikolons. v muss DMARC1 sein und an erster Stelle stehen. p ist das einzige weitere Pflicht-Tag. rua nimmt eine oder mehrere mailto:-Adressen für aggregierte Reports auf. pct begrenzt, auf wie viel fehlgeschlagene Mail die Richtlinie angewendet wird. adkim und aspf schalten die Ausrichtung zwischen relaxed (Subdomains zählen) und strict (exakte Übereinstimmung) um. Alles Weitere ist optional und wird selten gebraucht.
Ein häufiger Fehler ist, Reports an eine Adresse bei einem Dritten zu senden, ohne dass diese Domain den nötigen Autorisierungseintrag veröffentlicht. Ein anderer ist, zwei DMARC-Einträge anzulegen, wodurch die Richtlinie undefiniert wird. Der Checker markiert beides, dazu Tippfehler, die aus einem echten Tag ein unbekanntes machen, das Empfänger ignorieren.
DMARC für Cold-E-Mail-Domains
Outreach-Domains sind häufige Spoofing-Ziele, weil sie neu sind und selten überwacht werden. Eine reject-Richtlinie kostet nichts, sobald Ihre eigene Mail ausgerichtet ist, und sie beseitigt eine ganze Klasse von Reputationsschäden. Da die meisten Cold-E-Mail-Setups über Google Workspace oder Microsoft 365 mit aktiviertem DKIM senden, ist die Ausrichtung normalerweise ohnehin schon gegeben.
InboxOne veröffentlicht SPF, DKIM und einen DMARC-Eintrag auf jeder bereitgestellten Domain, sodass eine Domain ab dem ersten Versand geschützt ist. Wenn Sie das DNS selbst verwalten, bauen Sie den Eintrag mit dem Generator und bestätigen Sie ihn nach der Propagierung mit diesem Checker.
