DMARC Rekordprüfer
Wissen Sie, ob gefälschte E-Mails von Ihrer Domain abgelehnt, unter Quarantäne gestellt oder nur gemeldet werden und ob Berichte tatsächlich eintreffen.
Wie es misst
- Policy Discovery folgt RFC 9989: Der Datensatz bei _dmarc.<domain> wird zuerst gelesen; wenn keiner existiert, fragt der DNS Tree Walk (Abschnitt 4.10) die Elternnamen ab, höchstens acht Abfragen, wobei er bei einem Datensatz mit der Markierung psd=y oder psd=n anhält, und bestimmt die Organisationsdomäne aus den gefundenen Datensätzen (Abschnitt 4.10.2).
- Für eine Subdomain gilt der sp-Tag des geerbten Datensatzes (np wird für nicht vorhandene Subdomains angezeigt); ohne sp gilt der p-Tag. Ein Datensatz ohne gültigen p-Tag wird nur dann als p=none behandelt, wenn er eine rua-Adresse trägt, genau wie Empfänger.
- Tags werden nach der Spezifikation analysiert: p, sp, np, pct, rua, ruf, adkim, aspf, fo, rf, ri, psd. Für rua/ruf Destinationen außerhalb der Organisationsdomäne wird der Autorisierungsrekord <policy domain>._report._dmarc.<destination> überprüft.
- Die Ergebnisse werden getrennt gehalten: ein nutzbarer Datensatz, kein Datensatz irgendwo auf dem Spaziergang, ein unbrauchbarer Datensatz (mehrere Datensätze oder kein p und kein rua), ein vorübergehender DNS-Ausfall oder ein Name, der nicht ausgewertet werden kann. Lookups stoppen bei acht Abfragen und sechs Sekunden.
Grenzwerte
- Die veraltete RFC 7489 Heuristik (eine kurze Liste von öffentlichen Zwei-Label-Suffixen) wird nur zum Vergleich angezeigt und entscheidet nie über die Richtlinie.
- DKIM-Selektoren sind nicht aus DNS allein erkennbar, so dass DKIM selbst nicht überprüft wird.
- Bericht Lieferung und Inhalt werden nicht überprüft; nur die DNS Seite.
- Ein Resolver (Cloudflare) wird verwendet; ein vorübergehender Fehler wird als solcher gemeldet, niemals als fehlender Datensatz.
Fehlerbehebung
- p=none für Monate
- Überprüfen Sie aggregierte Berichte, autorisieren Sie legitime Absender durch SPF und DKIM, bewegen Sie sich dann mit pct = 10 zu p=quarantine und erhöhen Sie sie schrittweise.
- Keine Meldung eingetroffen
- Fügen Sie eine rua = Adresse hinzu. Wenn es sich auf einer anderen Domäne befindet, muss diese Domäne den Autorisierungsrekord veröffentlichen, den dieses Tool überprüft.