Brauche ich DMARC wirklich?

Gmail und Yahoo verlangen seit 2024 von Massenversendern SPF, DKIM und einen DMARC-Record. Auch für kleine Versender senkt ein DMARC-Record das Risiko, dass Dritte deine Domain fälschen.

rua ist die Adresse, an die Empfänger tägliche Zusammenfassungen senden. Sie zeigen, welche Server mit deiner Domain Mails versenden und ob SPF und DKIM bestehen.

Warum ist sp=none ein Risiko?

Die Policy der Hauptdomain gilt dann nicht für Subdomains. Angreifer nutzen genau solche Lücken für Fälschungen.

DMARC prüfen und einrichten: Policy none, quarantine, reject und Berichte

DMARC sagt dem Empfänger, was mit Mails geschehen soll, die vorgeben von deiner Domain zu stammen, aber SPF und DKIM nicht bestehen. Zusätzlich schickt es dir Berichte, wer in deinem Namen sendet.

Der DMARC-Record

DMARC liegt als TXT-Record unter _dmarc.deine-domain. Ein erster Eintrag zum Beobachten sieht so aus:

_dmarc.example.org.  IN TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.org"

Die Policy p=

p=none beobachtet nur und schützt noch nicht.
p=quarantine verschiebt durchgefallene Mails in den Spam-Ordner.
p=reject lehnt sie ab und bietet den stärksten Schutz vor Fälschungen deiner Domain.

Alignment

DMARC besteht, wenn SPF oder DKIM besteht und die geprüfte Domain zur sichtbaren From-Domain passt. Mit aspf und adkim wählst du zwischen relaxed (Subdomains erlaubt) und strict (exakte Übereinstimmung).

Subdomains und pct

Mit sp= legst du eine eigene Policy für Subdomains fest. Steht dort none, sind alle Subdomains ungeschützt, obwohl die Hauptdomain geschützt ist. Mit pct= wendest du die Policy nur auf einen Teil der Mails an. Für vollen Schutz bleibt pct unter 100 nicht dauerhaft stehen.

Der sichere Weg zu p=reject

Mit p=none und einer rua-Adresse starten und die Berichte lesen.
Alle legitimen Absender in SPF und DKIM aufnehmen, bis die Berichte keine unbekannten Quellen zeigen.
Auf p=quarantine wechseln, danach auf p=reject.

DMARC prüfen und einrichten