Modul 4 · 4.5
DMARC: hvad modtagere skal gøre med falsk mail
Modul 4: Records til e-mail · Læsetid: 10 minutter
Læringsmål: Efter denne lektion kan du forklare hvordan DMARC kombinerer SPF og DKIM, opsætte et gyldigt DMARC-record og skærpe politikken trin for trin.
Nøglebegreber: DMARC, _dmarc, v=DMARC1, politik p=none / quarantine / reject, justering (alignment), rua-rapporter, sp= og np=, testtilstand t=, ét DMARC-record
Den manglende brik
SPF (lektion 4.3) kontrollerer hvilken server en mail kommer fra, men kigger på den tekniske envelope-adresse. DKIM (lektion 4.4) kontrollerer en signatur, men den kan være fra et hvilket som helst domæne. En svindler kan altså sende en mail med "Fra: info@example.com", som sagtens kommer igennem SPF for sit eget domæne og er pænt signeret af sit eget domæne.
DMARC (Domain-based Message Authentication, Reporting and Conformance) lukker den cirkel. Den stiller ét spørgsmål: hører den godkendte SPF- eller DKIM-kontrol til det domæne, som modtageren ser i "Fra:"-adressen? Det kaldes justering (alignment). Og du fortæller modtagere, hvad de skal gøre, hvis svaret er nej.
DMARC blev beskrevet i 2015 i RFC 7489. I maj 2026 udkom den reviderede version som officiel internetstandard: RFC 9989 (med RFC 9990 og 9991 for rapporterne). Eksisterende records med v=DMARC1 forbliver gyldige.
Sådan beslutter en modtager
Hvis der kommer en mail ind med afsender info@example.com, gør modtageren dette:
- SPF: kommer mailen fra en tilladt server, og hører envelope-domænet til
example.com? - DKIM: er der en gyldig signatur, og hører det signerende domæne (
d=) tilexample.com? - DMARC: er mindst én af de to godkendt og justeret? Så er mailen i orden. Hvis ikke, følger modtageren din politik.
Én af de to er nok. Derfor er DKIM så vigtig for tjenester, der sender med deres egen envelope-adresse, som mange nyhedsbrevstjenester gør: der lykkes SPF godt nok, men ikke for dit domæne. Kun en DKIM-signatur med d=example.com gør det så i orden.
"Hører til" betyder som standard: samme organisationsdomæne. nieuws.example.com hører til example.com. Det kaldes relaxed justering. Med adkim=s eller aspf=s (strict) skal det være nøjagtig samme domæne. For næsten alle er relaxed fint.
Hvordan ser et DMARC-record ud?
Et DMARC-record er et TXT-record på navnet _dmarc i dit domæne:
_dmarc.example.com. 3600 IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"Det består af dele (tags) adskilt af semikolon.
| Tag | Betydning |
|---|---|
v=DMARC1 | Dette er et DMARC-record. Skal stå først. |
p= | Politikken for dit domæne: none, quarantine eller reject. |
rua=mailto:... | Valgfrit: adresse til daglige oversigtsrapporter. |
sp= | Valgfrit: anden politik for subdomæner, der findes. |
np= | Valgfrit (nyt i RFC 9989): politik for subdomæner, der ikke findes, som factuur.example.com, hvis du aldrig har oprettet det. Svindlere bruger gerne den slags navne. |
adkim= / aspf= | Valgfrit: r (relaxed, standard) eller s (strict). |
t=y | Valgfrit (nyt i RFC 9989): testtilstand. Modtagere anvender et trin mildere politik. Erstatter det gamle pct=. |
Valg af politik
| Politik | Hvad modtageren gør |
|---|---|
p=none | Intet. Mailen bliver bare leveret. Du får dog rapporter, hvis du udfylder rua. Dette kaldes også at monitorere. |
p=quarantine | Mail, der ikke stemmer, havner i spammappen. |
p=reject | Mail, der ikke stemmer, bliver afvist. Den bedste beskyttelse mod misbrug af dit navn. |
Fornuftig rækkefølge:
- Få først SPF og DKIM på plads, for alle tjenester, der sender mail på dine vegne: din mailudbyder, din hjemmeside, din nyhedsbrevstjeneste, dit bogføringsprogram, din webshop.
- Begynd med
p=noneog enrua-adresse. Kig et par uger i rapporterne for at se, hvilke tjenester der sender mail på vegne af dit domæne, og om de lykkes. - Gå til
p=quarantine, og hvis alt fortsat går godt, gå tilp=reject.
Er du i tvivl om, hvorvidt alle dine tjenester er opsat korrekt, så gå ikke direkte til reject. En glemt tjeneste (for eksempel programmet der sender dine fakturaer) kommer så ikke frem længere.
Nogle hostingselskaber sætter straks en streng DMARC-politik (p=reject) op ved en ny pakke. Det er sikkert, så længe al din mail går via deres servere. Begynder du også at sende mail via andre tjenester, så kontrollér først SPF og DKIM for de tjenester.
Rapporter
Med rua=mailto:dmarc@example.com får du dagligt et overblik (en XML-fil) fra store modtagere over hvem der sendte mail på vegne af dit domæne, og om det lykkedes. Nyttigt, men teknisk. Brug en separat adresse til det; du får hurtigt flere om dagen. Der findes tjenester, der gør rapporterne læsbare.
Sender du rapporter til en adresse på et andet domæne (for eksempel en rapporteringstjeneste), skal det andet domæne give tilladelse i sin DNS. Tjenesten ordner som regel selv det.
Almindelige fejl
- To DMARC-records. Der må kun være ét på
_dmarc. Ved to opfører modtageren sig, som om du slet ikke har DMARC. Tilpas det eksisterende record. - På det forkerte navn. Recordet hører til på
_dmarc.example.com, ikke påexample.comselv. - Tastefejl i tags.
p=rejectvirker,p=rejectedellerpolicy=rejectgør ikke. Uden gyldigp=tæller recordet somp=none. - At slå DMARC til, før SPF og DKIM stemmer. Så afviser du din egen mail.
- At tjekke igen for hurtigt efter en ændring. Et DMARC-record har nogle gange en lang TTL (for eksempel fire timer). Efter en ændring ser du derfor stadig det gamle record et stykke tid.
Hvorfor det betyder noget
Siden februar 2024 kræver Gmail og Yahoo et DMARC-record af afsendere af store mængder mail (mere end cirka 5.000 om dagen), som minimum med p=none, samt at SPF eller DKIM lykkes justeret. Microsoft kræver det samme siden maj 2025 for Outlook.com og Hotmail. Også for små afsendere forbedrer DMARC leveringen og beskytter dine kunder mod falske fakturaer i dit navn.
I praksis: sådan ser det ud i et panel
I dette eksempel bruger vi DirectAdmin. I DNS-administration klikker du på blyanten ud for TXT-recordet _dmarc, eller opretter du et nyt TXT-record med navnet _dmarc og vælger DMARC under TXT-posttype. Under Domænepolitikkens type vælger du Ingen, Karantæne eller Afvis; under Aggregeret e-mail (RUA) indtaster du eventuelt en rapportadresse. Mit WebOké har en tilsvarende DMARC-hjælp under fanen DNS.
Har dit panel ingen hjælpefunktion, opretter du blot et almindeligt TXT-record på _dmarc og indtaster teksten selv. Resultatet er det samme.
Opsummering
- DMARC kontrollerer, om SPF eller DKIM lykkes for domænet i "Fra:"-adressen (justering).
- Recordet står på
_dmarc.<domæne>, begynder medv=DMARC1og har en politikp=none,quarantineellerreject. - Først SPF og DKIM for alle tjenester, derefter
p=nonemed rapporter, så skærpning. - Præcis ét DMARC-record per domæne.
Quiz
Opgave
Opgave Z4.5: Slå DMARC op. Find DMARC-recordet for sidn.nl (SIDN er registeradministratoren for .nl i Holland) (eller for dit eget domæne). Indsæt hele recordet, og angiv hvilken politik (p=) der står.
Opgave O4.5: Opsæt det selv i din øvelseszone. I øvelseszonen sender du rapporterne til en fast øvelsesadresse; på dit rigtige domæne bruger du en adresse, der er din egen. Opret i din øvelseszone <code>.dnspractice.euquarantine (eller none, hvis du vil begynde med monitorering) og rapporter til dmarc@dnspractice.eu (rua=mailto:dmarc@dnspractice.eu).
Opgave O4.5
Denne opgave laver du i din egen øvelseszone: en rigtig DNS-zone på WebOkés navneservere, kun til dig. Tilmeld dig med din e-mailadresse. Du får et login-link på mail og kommer derefter tilbage til denne lektion. Vi bruger kun din adresse til kurset.
Videre læsning
Trinene i disse artikler gælder for WebOkés paneler; i andre paneler fungerer det på lignende vis.
- Hvad er DMARC? Forklaring i almindeligt sprog
- DirectAdmin vejledning 5.9: DMARC indstilling
- Opret DMARC-post i DirectAdmin
- WebOké vejledning 5.5: DNS-hjælpere: MX, SPF, DMARC, CAA og SRV
- Offentligt e-mailtjek (SPF, DMARC, MX): https://www.weboke.dk/e-mail-tjek, og mailtesten fra internet.nl: https://internet.nl
- RFC 9989 (DMARC), RFC 9990 (rapporter); historisk RFC 7489