Sådan læser du en DMARC-rapport
Med en DMARC-post fortæller du modtagere, hvad de skal gøre med mail, der angiveligt kommer fra dit domæne, men som ikke består kontrollen. Du kan også bede dem sende dig rapporter. Der kan du se, hvilke servere der sender mail på vegne af dit domæne, og om den mail består SPF, DKIM og DMARC. Sådan finder du en tjeneste, du havde glemt, og ser du, om nogen misbruger dit domæne. Hvad DMARC er, kan du læse i Hvad er DMARC? Forklaring i almindeligt sprog.
Aktiver rapporter: rua-adressen
Du får kun rapporter, hvis der i din DMARC-post står en rapportadresse efter rua=. Standardposten ved en hostingpakke fra WebOké er v=DMARC1;p=reject, uden rapportadresse. Så får du altså ingen rapporter. Du kan tilføje en adresse uden at ændre din politik:
v=DMARC1; p=reject; rua=mailto:dmarc@dindomæne.nl
I DirectAdmin klikker du i DNS Administration på blyanten ved siden af posten _dmarc og indtaster adressen ved Aggregate Mail (RUA). Se Opsætning af DMARC. I Mit WebOké bruger du DMARC-hjælpen på fanen DNS: DNS-hjælpere: MX, SPF, DMARC, CAA og SRV. Hvilken politik (p=) du vælger, kan du læse i Oprettelse af DMARC-post i DirectAdmin.
Derudover findes ruf=, til fejlrapporter om enkelte mislykkede mails. De kan indeholde dele af den rigtige mail, og næsten ingen store modtagere sender dem. Lad ruf stå tom: du har kun brug for de samlede rapporter fra rua.
dmarc@dindomæne.nl, så din almindelige mail ikke drukner. Hold øje med den mailboks: også rapporter fylder i din lagerplads.Hvad du modtager
En rapport er en mail med en vedhæftning: en XML-fil, som regel pakket som .gz eller .zip. Navnet fortæller, hvem der sender den, hvilket domæne det drejer sig om, og for hvilken periode, for eksempel google.com!dindomæne.nl!1793923200!1794009599.xml.gz. Tallene er tidspunkter i sekunder siden 1970. Der står ikke noget indhold af mail i den: kun antal mails pr. afsendende server, og hvordan kontrollerne faldt ud.
Sådan læser du én række
Hver blok <record> handler om én afsendende IP-adresse:
<row>
<source_ip>198.51.100.40</source_ip>
<count>1250</count>
<policy_evaluated>
<disposition>none</disposition>
<dkim>fail</dkim>
<spf>fail</spf>
</policy_evaluated>
</row>
<identifiers>
<header_from>dindomæne.nl</header_from>
</identifiers>
<auth_results>
<dkim><domain>nyhedsbrevstjeneste.example</domain><result>pass</result></dkim>
<spf><domain>bounce.nyhedsbrevstjeneste.example</domain><result>pass</result></spf>
</auth_results>
| Element | Betydning |
|---|---|
source_ip | IP-adressen på den server, der leverede mailen. |
count | Hvor mange mails fra denne IP-adresse med dette resultat. |
disposition | Hvad modtageren gjorde: pass eller none (leveret), quarantine (spammappe) eller reject (afvist). |
dkim og spf under policy_evaluated | DMARC-resultatet: bestod DKIM eller SPF for et domæne, der hører til din Fra-adresse (alignment)? |
header_from | Domænet i mailens Fra-adresse. |
auth_results | Det rå resultat af SPF og DKIM, med det domæne, det gjaldt for. |
Vær opmærksom på forskellen mellem auth_results og policy_evaluated. I eksemplet består DKIM og SPF begge, men for domænet hos nyhedsbrevstjenesten. Det domæne hører ikke til dindomæne.nl, så DMARC fejler. Med p=reject bliver disse 1250 mails afvist.
Sådan finder du en glemt tjeneste
- Kig på
policy_evaluatedfor hver række. Står derpassveddkimellerspf, er den kilde i orden. - Fejler begge? Kig i
auth_results, hvilket domæne der står. Genkender du en tjeneste, du selv bruger, som dit bogføringsprogram, webshop eller nyhedsbrevstjeneste? Aktiver så DKIM med dit eget domæne hos den tjeneste, og tilføj tjenesten i din SPF-post, hvis det er nødvendigt. Se Tilføjelse eller ændring af SPF-post i DirectAdmin og Opsætning af DKIM, når DNS ligger hos en anden udbyder. - Ikke et domæne, du genkender? Find ud af, hvem IP-adressen tilhører, for eksempel med et whois-opslag. En ukendt IP-adresse, hvor alt fejler, er som regel nogen, der misbruger dit domæne. Det er netop det, din DMARC-politik beskytter dig imod.
Ser du en ukendt IP-adresse, hvor SPF fejler, men DKIM består for dit eget domæne? Så er det som regel mail fra dig, som nogen har videresendt. DMARC består så via DKIM, og du behøver ikke at gøre noget.
Gør rapporterne læsbare
Én rapport kan du åbne i en browser eller et program, der viser XML. Får du mange, findes der rapporttjenester (også gratis) og open source-programmer, der samler rapporterne og laver overblik over dem. Husk, at sådan en tjeneste så kan se, hvilke servere der sender mail på vegne af dit domæne. Vælg en, du har tillid til, og som overholder GDPR.
Står rapportadressen på et andet domæne end dit eget, for eksempel hos en rapporttjeneste? Så skal det andet domæne give tilladelse med en særlig post, som dindomæne.nl._report._dmarc.rapporttjeneste.example. Uden den post sender modtagere ikke rapporter til den adresse. En rapporttjeneste klarer som regel selv den post. Baggrund: RFC 9990, kapitel 4.