DMARC-Record erstellen und prüfen
Erstellen Sie einen DMARC-Record mit einem sicheren Einführungspfad von der Überwachung bis zur Durchsetzung und prüfen Sie die heute veröffentlichte Richtlinie einer Domain.
1Richtlinie
Was Empfänger mit E-Mails tun sollen, die vorgeben, von Ihrer Domain zu stammen, aber sowohl SPF- als auch DKIM-Alignment nicht bestehen.
Bei „Erben“ belassen, außer Subdomains benötigen eine andere Regel.
Unter 100 fällt der Rest auf die schwächere Richtlinie zurück. Nützlich beim schrittweisen Hochfahren.
2Berichterstattung
Aggregierte Berichte sind der ganze Sinn von DMARC: Sie zeigen Ihnen jede Quelle, die als Ihre Domain sendet.
Tägliche XML-Zusammenfassungen. Liegt diese Adresse auf einer anderen Domain, muss diese Domain einen Autorisierungseintrag veröffentlichen.
Kopien einzelner fehlgeschlagener Nachrichten. Optional: Die meisten Empfänger senden sie nicht mehr.
3Alignment
Wie genau die SPF- oder DKIM-Domain mit der sichtbaren From-Domain übereinstimmen muss. „Locker“ passt für die meisten Konfigurationen.
- Eintragstyp
- TXT
- Name / Host
- _dmarc
- TTL
- 3600
Springen Sie nie direkt zu „Ablehnen“: Sie würden Ihre eigenen Newsletter, Rechnungen und Support-Anfragen blockieren. Gehen Sie Schritt für Schritt vor und lesen Sie zwischen jedem Schritt Ihre Berichte.
-
Wochen 1-4: beobachten
p=none; pct=100Veröffentlichen Sie mit reiner Überwachung und lesen Sie die Sammelberichte. Finden Sie jeden legitimen Absender und richten Sie SPF oder DKIM für jeden aus. -
Wochen 5-6: Teil-Quarantäne
p=quarantine; pct=25Setzen Sie einen Bruchteil der E-Mails auf Quarantäne. Achten Sie auf Beschwerden und darauf, dass nichts Legitimes im Spam landet. -
Wochen 7-8: vollständige Quarantäne
p=quarantine; pct=100Erhöhen Sie es auf alle E-Mails. Berichte sollten jetzt nur noch Fehlschläge von Quellen zeigen, die Sie nicht kennen. -
Ab Woche 9: ablehnen
p=reject; pct=100Wechseln Sie zur vollständigen Durchsetzung und lesen Sie weiterhin die Berichte: Neue Absender tauchen auf, sobald ein Team ein neues Tool nutzt.
Erstellen Sie links eine Richtlinie mit einem Einführungspfad von der Überwachung bis zur Durchsetzung, oder wechseln Sie zum Checker, um den veröffentlichten DMARC-Record einer Domain Tag für Tag zu lesen.
| Tag | Wert | Bedeutung |
|---|
| Zieldomain | Autorisierungsrecord | Status |
|---|
Über DMARC-Record erstellen und prüfen
Der DMARC-Record-Generator & Checker erstellt den `_dmarc`-TXT-Record, der Empfängern mitteilt, was zu tun ist, wenn Mail, die vorgibt, von Ihrer Domain zu stammen, sowohl das SPF- als auch das DKIM-Alignment nicht besteht, und, ebenso wichtig, wohin die Berichte gesendet werden sollen, die zeigen, wer als Sie versendet. Seit Februar 2024 verlangen Gmail und Yahoo von jedem, der Massenmail an ihre Nutzer sendet, einen DMARC-Record.
Der Generator deckt die Richtlinie, die Subdomain-Richtlinie, den Prozentsatz, die Berichtsadressen, die Alignment-Modi, die Ausfalloptionen und das Berichtsintervall ab und legt den Einführungspfad fest, dem die meisten Domains folgen sollten: erst überwachen, dann einen Teil in Quarantäne, dann alles in Quarantäne, dann ablehnen. Direkt zu reject zu springen ist der Weg, wie Organisationen ihre eigenen Rechnungen, Newsletter und Helpdesk-Antworten blockieren.
Der Checker liest den von einer Domain veröffentlichten Record, erklärt jedes Tag verständlich und validiert ihn gegen RFC 7489. Er meldet einen fehlenden Record, mehrere Records (die Empfänger als gar keine Richtlinie behandeln), ein falsch platziertes Versions-Tag, fehlerhafte oder unbekannte Tags, ein seit Monaten unverändertes `p=none`, ein `pct` unter 100 und, ein subtiles Problem, das still Ihre Berichte verschwinden lässt, eine `rua`-Adresse auf einer anderen Domain, die den von RFC 7489 §7.1 geforderten externen Autorisierungsrecord nicht veröffentlicht hat. Er folgt auch dem Fallback zur Organisationsdomain, sodass die Prüfung einer Subdomain die tatsächlich für sie geltende Richtlinie zeigt.
So verwenden Sie DMARC-Record erstellen und prüfen
- Beginnen Sie im Generator-Tab mit einer nur überwachenden Richtlinie und geben Sie eine Adresse für aggregierte Berichte ein.
- Belassen Sie das Alignment auf relaxed, außer Sie wissen, dass ein Absender eine strikte Übereinstimmung braucht, und lassen Sie pct bei 100.
- Veröffentlichen Sie den Record als TXT-Record mit dem Namen _dmarc auf Ihrer Domain.
- Lesen Sie die aggregierten Berichte einige Wochen lang und richten Sie SPF oder DKIM für jeden dabei sichtbaren legitimen Absender korrekt aus.
- Wechseln Sie zu quarantine, dann zu reject, und prüfen Sie zwischen jedem Schritt die Berichte.
- Nutzen Sie in jeder Phase den Checker-Tab, um zu bestätigen, dass der Record korrekt verarbeitet wird und Ihre Berichtsziele autorisiert sind.