Modul 4 · 4.5
DMARC: hva mottakere skal gjøre med falsk e-post
Modul 4: Poster for e-post · Lesetid: 10 minutter
Læringsmål: Etter denne leksjonen kan du forklare hvordan DMARC kombinerer SPF og DKIM, sette opp en gyldig DMARC-post og stramme inn policyen steg for steg.
Kjernebegreper: DMARC, _dmarc, v=DMARC1, policy p=none / quarantine / reject, samstilling (alignment), rua-rapporter, sp= og np=, testmodus t=, én DMARC-post
Den manglende biten
SPF (leksjon 4.3) kontrollerer hvilken server en e-post kommer fra, men ser på den tekniske envelope-adressen. DKIM (leksjon 4.4) kontrollerer en signatur, men den kan være fra hvilket som helst domene. En svindler kan derfor sende en e-post med «Fra: info@example.com» som kommer fint gjennom SPF for sitt eget domene og er pent signert av sitt eget domene.
DMARC (Domain-based Message Authentication, Reporting and Conformance) lukker den sirkelen. Den stiller ett spørsmål: hører den vellykkede SPF- eller DKIM-kontrollen til domenet som mottakeren ser i «Fra:»-adressen? Det kalles samstilling (alignment). Og du forteller mottakere hva de skal gjøre hvis svaret er nei.
DMARC ble beskrevet i 2015 i RFC 7489. I mai 2026 kom den reviderte versjonen som offisiell internettstandard: RFC 9989 (med RFC 9990 og 9991 for rapportene). Eksisterende poster med v=DMARC1 forblir gyldige.
Hvordan en mottaker avgjør
Kommer det inn en e-post med avsender info@example.com, gjør mottakeren dette:
- SPF: kommer e-posten fra en tillatt server, og hører envelope-domenet til
example.com? - DKIM: finnes det en gyldig signatur, og hører det signerende domenet (
d=) tilexample.com? - DMARC: er minst én av disse to vellykket og samstilt? Da er e-posten i orden. Hvis ikke, følger mottakeren din policy.
Én av de to er nok. Derfor er DKIM så viktig for tjenester som sender med en egen envelope-adresse, slik mange nyhetsbrevtjenester gjør: der lykkes SPF, men ikke for ditt domene. Bare en DKIM-signatur med d=example.com gjør det da i orden.
«Hører til» betyr som standard: samme organisasjonsdomene. nieuws.example.com hører til example.com. Det kalles relaxed samstilling. Med adkim=s eller aspf=s (strict) må det være nøyaktig samme domene. For nesten alle er relaxed godt nok.
Hvordan ser en DMARC-post ut?
En DMARC-post er en TXT-post på navnet _dmarc i domenet ditt:
_dmarc.example.com. 3600 IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"Den består av deler (tags) adskilt med semikolon.
| Tag | Betydning |
|---|---|
v=DMARC1 | Dette er en DMARC-post. Må stå først. |
p= | Policyen for domenet ditt: none, quarantine eller reject. |
rua=mailto:... | Valgfritt: adresse for daglige oversiktsrapporter. |
sp= | Valgfritt: annen policy for underdomener som finnes. |
np= | Valgfritt (nytt i RFC 9989): policy for underdomener som ikke finnes, for eksempel factuur.example.com hvis du aldri har opprettet det. Svindlere liker å bruke slike navn. |
adkim= / aspf= | Valgfritt: r (relaxed, standard) eller s (strict). |
t=y | Valgfritt (nytt i RFC 9989): testmodus. Mottakere bruker et trinn mildere policy. Erstatter den gamle pct=. |
Velge policy
| Policy | Hva mottakeren gjør |
|---|---|
p=none | Ingenting. E-posten blir levert som vanlig. Du får likevel rapporter hvis du fyller inn rua. Dette kalles også overvåking. |
p=quarantine | E-post som ikke stemmer, går til spammappen. |
p=reject | E-post som ikke stemmer, blir avvist. Den beste beskyttelsen mot misbruk av navnet ditt. |
Fornuftig rekkefølge:
- Få først SPF og DKIM i orden, for alle tjenester som sender e-post på dine vegne: e-postleverandøren din, nettstedet ditt, nyhetsbrevtjenesten, regnskapsprogrammet, nettbutikken.
- Begynn med
p=noneog enrua-adresse. Se i noen uker i rapportene hvilke tjenester som sender e-post på vegne av domenet ditt, og om de lykkes. - Gå til
p=quarantine, og hvis alt fortsatt går bra, gå tilp=reject.
Er du i tvil om alle tjenestene dine er riktig satt opp, ikke gå rett til reject. En glemt tjeneste (for eksempel programmet som sender fakturaene dine) kommer da ikke lenger fram.
Noen hostingselskaper setter opp en streng DMARC-post (p=reject) med det samme ved en ny pakke. Det er trygt så lenge all e-posten din går via serverne deres. Begynner du også å sende e-post via andre tjenester, kontroller da først SPF og DKIM for disse tjenestene.
Rapporter
Med rua=mailto:dmarc@example.com får du daglig et oversiktsdokument (en XML-fil) fra store mottakere, med informasjon om hvem som sendte e-post på vegne av domenet ditt og om det lyktes. Nyttig, men teknisk. Bruk en egen adresse til dette; du får raskt flere per dag. Det finnes tjenester som gjør rapportene lesbare.
Sender du rapporter til en adresse på et annet domene (for eksempel en rapporteringstjeneste), må det andre domenet gi tillatelse i sin DNS. Tjenesten ordner vanligvis dette selv.
Vanlige feil
- To DMARC-poster. Det kan bare finnes én på
_dmarc. Med to oppfører mottakeren seg som om du ikke har DMARC. Endre den eksisterende posten. - På feil navn. Posten hører hjemme på
_dmarc.example.com, ikke påexample.comselv. - Skrivefeil i tagene.
p=rejectfungerer,p=rejectedellerpolicy=rejectgjør ikke det. Uten gyldigp=telles posten somp=none. - Slå på DMARC før SPF og DKIM stemmer. Da avviser du din egen e-post.
- Sjekke på nytt for raskt etter en endring. En DMARC-post har noen ganger en lang TTL (for eksempel fire timer). Etter en endring ser du derfor den gamle posten en stund til.
Hvorfor det betyr noe
Siden februar 2024 krever Gmail og Yahoo at avsendere av store mengder e-post (mer enn omtrent 5000 per dag) har en DMARC-post, minst med p=none, og at SPF eller DKIM lykkes samstilt. Microsoft krever det samme siden mai 2025 for Outlook.com og Hotmail. Også for små avsendere forbedrer DMARC leveringen og beskytter kundene dine mot falske fakturaer i ditt navn.
I praksis: slik ser det ut i et panel
I dette eksempelet bruker vi DirectAdmin. I DNS Administration klikker du på blyanten bak TXT-posten _dmarc, eller du oppretter en ny TXT-post med navn _dmarc og velger DMARC under TXT Record Type. Under Domain policy type velger du None, Quarantine eller Reject; under Aggregate Email (RUA) fyller du eventuelt inn en rapportadresse. Min side har en lignende DMARC-hjelp på DNS-fanen.
Har panelet ditt ingen hjelpefunksjon, oppretter du en vanlig TXT-post på _dmarc og skriver teksten selv. Resultatet blir det samme.
Oppsummering
- DMARC kontrollerer om SPF eller DKIM lykkes for domenet i «Fra:»-adressen (samstilling).
- Posten står på
_dmarc.<domene>, starter medv=DMARC1og har en policyp=none,quarantineellerreject. - Først SPF og DKIM for alle tjenester, deretter
p=nonemed rapporter, så innstramming. - Nøyaktig én DMARC-post per domene.
Quiz
Oppgave
Oppgave Z4.5: Slå opp DMARC. Slå opp DMARC-posten til sidn.nl (SIDNs nettside, registerforvalteren for .nl i Nederland), eller til ditt eget domene. Lim inn hele posten og fyll inn hvilken policy (p=) som står der.
Oppgave O4.5: Sett det opp selv i øvingssonen din. I øvingssonen sender du rapportene til en fast øvingsadresse; i ditt virkelige domene bruker du en egen adresse. Opprett i øvingssonen din <code>.dnspractice.euquarantine (eller none hvis du vil begynne med overvåking) og rapporter til dmarc@dnspractice.eu (rua=mailto:dmarc@dnspractice.eu).
Oppgave O4.5
Denne oppgaven gjør du i din egen øvingssone: en ekte DNS-sone på navnetjenerne til WebOké, kun for deg. Logg deg på med e-postadressen din. Du får en innloggingslenke på e-post og kommer deretter tilbake til denne leksjonen. Vi bruker adressen din bare til kurset.
Les mer
Stegene i disse artiklene gjelder for panelene til WebOké; i andre paneler fungerer det på lignende måte.
- Hva er DMARC? Forklart på en enkel måte
- DirectAdmin-veiledning 5.9: DMARC instellen
- Opprett DMARC-post i DirectAdmin
- WebOké-veiledning 5.5: DNS-hjelpere: MX, SPF, DMARC, CAA og SRV
- Offentlig e-postsjekk (SPF, DMARC, MX): https://www.weboke.no/e-postsjekk, og e-posttesten til internet.nl: https://internet.nl
- RFC 9989 (DMARC), RFC 9990 (rapporter); historisk RFC 7489