DMARC rekordkontroll

Vet om spoofed post från din domän avvisas, karantän eller bara rapporteras, och om rapporter faktiskt anländer.

Hur det mäter

Policy discovery följer RFC 9989: rekordet på _dmarc.<domain> läses först; när ingen existerar DNS Tree Walk (avsnitt 4.10) frågor föräldranamn, på de flesta åtta frågor, stoppar på ett rekord markerat psd = y eller psd = n, och bestämmer organisationsdomänen från de register som finns (avsnitt 4.10.2).
För en underdomän gäller den ärvda postens sp-tagg (np visas för icke-existerande underdomäner); utan sp gäller p-taggen. En post utan giltig p-tagg behandlas som p=none endast när den bär en rua-adress, precis som mottagare gör.
Taggar är parsed per specifikation: p, sp, np, pct, rua, ruf, adkim, aspf, fo, rf, ri, psd. För rua/ruf destinationer utanför organisationsdomänen kontrolleras <policy domain>._report._dmarc.<destination> auktorisationsregister.
Resultaten hålls isär: en användbar rekord, ingen rekord någonstans på promenad, en oanvändbar rekord (flera poster, eller ingen p och nr rua), en tillfällig DNS misslyckande, eller ett namn som inte kan utvärderas. Uppslag stannar vid åtta frågor och sex sekunder.

Den föråldrade RFC 7489 heuristiska (en kort lista över tvåmärken offentliga suffix) visas endast för jämförelse och beslutar aldrig politiken.
DKIM väljare är inte tillgängliga från DNS ensam, så DKIM själv kontrolleras inte.
Rapportera leverans och innehåll verifieras inte; endast DNS-sidan.
En beslutsfattare (Cloudflare) används; ett tillfälligt misslyckande rapporteras som sådant, aldrig som en saknad post.

p=none i månader: Granska aggregerade rapporter, auktorisera legitima avsändare genom SPF och DKIM, flytta sedan till p=quarantine med pct=10 och höja det gradvis.
Inga rapporter som anländer: Lägg till en rua = adress. Om det är på en annan domän måste domänen publicera auktorisationen registrera detta verktygskontroller.