DMARC recordcontrole
Weet of spoofed e-mail van uw domein wordt afgewezen, in quarantaine wordt geplaatst of slechts wordt gerapporteerd, en of rapporten daadwerkelijk aankomen.
Hoe het meet
- Beleidsontdekking volgt RFC 9989: het record op _dmarc.<domain> wordt eerst gelezen; wanneer er geen bestaat de DNS Tree Walk (Sectie 4.10) vraagt de oudernamen, ten hoogste acht queries, stoppen bij een record gemarkeerd psd=y of psd=n, en bepaalt het Organisatiedomein uit de gevonden records (Sectie 4.10.2).
- Voor een subdomein geldt de sp tag van het geërfde record (np voor niet-bestaande subdomeinen); zonder sp geldt de p-tag. Een record zonder geldig p-tag wordt alleen behandeld als p=none wanneer het een rua adres heeft, precies zoals ontvangers dat doen.
- Tags worden ontleed per specificatie: p, sp, np, pct, rua, ruf, adkim, aspf, fo, rf, ri, psd. Voor rua/ruf bestemmingen buiten het Organisatorisch Domein, wordt de <policy domain>._report._dmarc.<destination> autorisatie record gecontroleerd.
- Resultaten worden gescheiden gehouden: een bruikbare record, nergens op de wandel, een onbruikbaar record (meerdere records, of geen p en geen rua), een tijdelijke DNS fout, of een naam die niet kan worden geëvalueerd. Opzoekingen stoppen bij acht vragen en zes seconden.
Grenswaarden
- De verouderde RFC 7489 heuristisch (een korte lijst van twee labels publieke achtervoegsels) wordt weergegeven voor vergelijking alleen en nooit besluit het beleid.
- DKIM selectoren zijn niet te ontdekken van DNS alleen, dus DKIM zelf is niet gecontroleerd.
- Aflevering en inhoud van het rapport worden niet geverifieerd; alleen de DNS zijde.
- Een oplosser (Cloudflare) wordt gebruikt; een tijdelijke storing wordt als zodanig gerapporteerd, nooit als een ontbrekende record.
Problemen oplossen
- p=none voor maanden
- Beoordelen van geaggregeerde rapporten, het toestaan van legitieme afzenders via SPF en DKIM, vervolgens verplaatsen naar p=quarantine met pct=10 en geleidelijk verhogen.
- Geen meldingen aangekomen
- Voeg een rua= adres toe. Als het op een ander domein is, moet dat domein de autorisatie record deze tool controles publiceren.