Lese en DMARC-rapport
Med en DMARC-post forteller du mottakere hva de skal gjøre med e-post som angivelig kommer fra ditt domene, men som ikke består kontrollen. Du kan også be dem sende deg rapporter. I disse ser du hvilke servere som sender e-post på vegne av domenet ditt, og om denne e-posten består SPF, DKIM og DMARC. Slik finner du en tjeneste du hadde glemt, og ser du om noen misbruker domenet ditt. Hva DMARC er, kan du lese i Hva er DMARC? Forklart på en enkel måte.
Aktivere rapporter: rua-adressen
Du får bare rapporter hvis det står en rapportadresse i DMARC-posten din, etter rua=. Standardposten for en hostingpakke fra WebOké er v=DMARC1;p=reject, uten rapportadresse. Da får du altså ingen rapporter. Du kan legge til en adresse uten å endre policyen din:
v=DMARC1; p=reject; rua=mailto:dmarc@jouwdomein.nl
I DirectAdmin klikker du i DNS Management på blyanten bak posten _dmarc og fyller inn adressen under Aggregert e-post (RUA). Se Konfigurere DMARC. På Min side bruker du DMARC-hjelpen under fanen DNS: DNS-hjelpere: MX, SPF, DMARC, CAA og SRV. Hvilken policy (p=) du velger, finner du i Opprette DMARC-post i DirectAdmin.
I tillegg finnes ruf=, for feilrapporter om enkelte mislykkede e-poster. Disse kan inneholde deler av ekte e-post, og nesten ingen store mottakere sender dem. La ruf stå tomt: du trenger bare samlerapportene fra rua.
dmarc@jouwdomein.nl, slik at vanlig e-post ikke drukner. Hold øye med denne kontoen: også rapporter fyller opp lagringsplassen din.Hva du får
En rapport er en e-post med et vedlegg: en XML-fil, som regel pakket som .gz eller .zip. Navnet forteller hvem som sender den, hvilket domene det gjelder, og for hvilken periode, for eksempel google.com!jouwdomein.nl!1793923200!1794009599.xml.gz. Tallene er tidspunkter i sekunder siden 1970. Rapporten inneholder ikke innholdet i e-postene, bare hvor mange e-poster det var per sendende server og hvordan kontrollene gikk.
Å lese én rad
Hver blokk med <record> gjelder én sendende IP-adresse:
<row>
<source_ip>198.51.100.40</source_ip>
<count>1250</count>
<policy_evaluated>
<disposition>none</disposition>
<dkim>fail</dkim>
<spf>fail</spf>
</policy_evaluated>
</row>
<identifiers>
<header_from>jouwdomein.nl</header_from>
</identifiers>
<auth_results>
<dkim><domain>nieuwsbriefdienst.example</domain><result>pass</result></dkim>
<spf><domain>bounce.nieuwsbriefdienst.example</domain><result>pass</result></spf>
</auth_results>
| Del | Betydning |
|---|---|
source_ip | IP-adressen til serveren som leverte e-posten. |
count | Hvor mange e-poster fra denne IP-adressen med dette resultatet. |
disposition | Hva mottakeren gjorde: pass eller none (levert), quarantine (spammappe) eller reject (avvist). |
dkim og spf under policy_evaluated | DMARC-resultatet: besto DKIM eller SPF for et domene som hører til Fra-adressen din (alignert)? |
header_from | Domenet i Fra-adressen til e-posten. |
auth_results | Det rå resultatet av SPF og DKIM, med domenet det gjaldt for. |
Legg merke til forskjellen mellom auth_results og policy_evaluated. I eksempelet består både DKIM og SPF, men for domenet til nyhetsbrevtjenesten. Det domenet hører ikke til jouwdomein.nl, så DMARC feiler. Med p=reject blir disse 1250 e-postene avvist.
Slik finner du en glemt tjeneste
- Se på
policy_evaluatedfor hver rad. Står detpassveddkimellerspf, er den kilden i orden. - Feiler begge? Se i
auth_resultshvilket domene som står der. Kjenner du igjen en tjeneste du selv bruker, som regnskapsprogrammet, nettbutikken eller nyhetsbrevtjenesten din? Slå da på DKIM med ditt eget domene hos den tjenesten, og legg til tjenesten i SPF-posten din hvis det er nødvendig. Se Legge til eller endre SPF-post i DirectAdmin og Sette opp DKIM når DNS ligger hos en annen part. - Ikke et domene du kjenner igjen? Søk opp hvem IP-adressen tilhører, for eksempel med et whois-oppslag. En ukjent IP-adresse der alt feiler, er som regel noen som misbruker domenet ditt. Det er nettopp det DMARC-policyen din beskytter deg mot.
Ser du en ukjent IP-adresse der SPF feiler, men DKIM består for ditt eget domene? Det er som regel e-post fra deg som noen har videresendt. DMARC består da via DKIM, og du trenger ikke å gjøre noe.
Gjøre rapportene lesbare
Én rapport kan du åpne i en nettleser eller et program som viser XML. Får du mange, finnes det rapporttjenester (også gratis) og programvare med åpen kildekode som samler rapportene og lager oversikter av dem. Husk at en slik tjeneste da ser hvilke servere som sender e-post på vegne av domenet ditt. Velg en du stoler på, og som følger personvernforordningen (GDPR).
Ligger rapportadressen på et annet domene enn ditt eget, for eksempel hos en rapporttjeneste? Da må det andre domenet gi tillatelse med en spesiell post, som jouwdomein.nl._report._dmarc.rapportdienst.example. Uten denne posten sender ikke mottakere rapporter til den adressen. En rapporttjeneste ordner som regel denne posten selv. Bakgrunn: RFC 9990, kapittel 4.