Läsa en DMARC-rapport
Med en DMARC-post talar du om för mottagare vad de ska göra med mejl som verkar komma från din domän, men som inte klarar kontrollen. Du kan även be dem skicka rapporter till dig. Där ser du vilka servrar som skickar mejl i din domäns namn, och om det mejlet klarar SPF, DKIM och DMARC. På så sätt hittar du en tjänst du hade glömt bort, och ser du om någon missbrukar din domän. Vad DMARC är kan du läsa i Vad är DMARC? Förklaring i vanligt språk.
Aktivera rapporter: rua-adressen
Du får bara rapporter om det finns en rapportadress i din DMARC-post, efter rua=. Standardposten för ett webbhotellpaket hos WebOké är v=DMARC1;p=reject, utan rapportadress. Då får du alltså inga rapporter. Du kan lägga till en adress utan att ändra din policy:
v=DMARC1; p=reject; rua=mailto:dmarc@jouwdomein.nl
I DirectAdmin klickar du i DNS-hantering på pennan bakom posten _dmarc och fyller i adressen vid Aggregerad e-post (RUA). Se Ställa in DMARC. I Mitt WebOké använder du DMARC-hjälpen på fliken DNS: DNS-hjälpare: MX, SPF, DMARC, CAA och SRV. Vilken policy (p=) du väljer hittar du i Skapa en DMARC-post i DirectAdmin.
Dessutom finns ruf=, för felrapporter om enskilda misslyckade mejl. De kan innehålla delar av riktiga mejl, och nästan ingen stor mottagare skickar dem. Lämna ruf tomt: du behöver bara samlingsrapporterna från rua.
dmarc@jouwdomein.nl, så att din vanliga e-post inte drunknar. Håll koll på den brevlådan: även rapporter fyller din lagring.Vad du får
En rapport är ett mejl med en bilaga: en XML-fil, oftast packad som .gz eller .zip. Namnet visar vem som skickar den, för vilken domän och för vilken period, till exempel google.com!jouwdomein.nl!1793923200!1794009599.xml.gz. Siffrorna är tidpunkter i sekunder sedan 1970. Den innehåller inget mejlinnehåll: bara hur många mejl det var per skickande server och hur kontrollerna föll ut.
Läsa en rad
Varje block <record> handlar om en skickande IP-adress:
<row>
<source_ip>198.51.100.40</source_ip>
<count>1250</count>
<policy_evaluated>
<disposition>none</disposition>
<dkim>fail</dkim>
<spf>fail</spf>
</policy_evaluated>
</row>
<identifiers>
<header_from>jouwdomein.nl</header_from>
</identifiers>
<auth_results>
<dkim><domain>nieuwsbriefdienst.example</domain><result>pass</result></dkim>
<spf><domain>bounce.nieuwsbriefdienst.example</domain><result>pass</result></spf>
</auth_results>
| Del | Betydelse |
|---|---|
source_ip | IP-adressen för servern som levererade mejlet. |
count | Hur många mejl från denna IP-adress med detta resultat. |
disposition | Vad mottagaren gjorde: pass eller none (levererat), quarantine (skräppostmapp) eller reject (avvisat). |
dkim och spf under policy_evaluated | DMARC-resultatet: klarade DKIM eller SPF för en domän som hör till din Från-adress (i linje, aligned)? |
header_from | Domänen i mejlets Från-adress. |
auth_results | Det råa resultatet av SPF och DKIM, med domänen det gällde för. |
Lägg märke till skillnaden mellan auth_results och policy_evaluated. I exemplet klarar både DKIM och SPF, men för nyhetsbrevstjänstens domän. Den domänen hör inte till jouwdomein.nl, så DMARC misslyckas. Med p=reject avvisas dessa 1250 mejl.
Så hittar du en glömd tjänst
- Titta per rad på
policy_evaluated. Står detpassviddkimellerspf, är den källan i sin ordning. - Misslyckas båda? Titta i
auth_resultsvilken domän det gäller. Känner du igen en egen tjänst, som ditt bokföringsprogram, webbutik eller nyhetsbrevstjänst? Aktivera då DKIM med din egen domän hos den tjänsten, och lägg till tjänsten i din SPF-post om det behövs. Se Lägga till eller ändra en SPF-post i DirectAdmin och Ställa in DKIM när DNS finns hos en annan part. - Ingen domän du känner igen? Sök upp vem IP-adressen tillhör, till exempel med en whois-sökning. En okänd IP-adress där allt misslyckas är oftast någon som missbrukar din domän. Det är precis det din DMARC-policy skyddar dig mot.
Ser du en okänd IP-adress där SPF misslyckas, men DKIM klarar sig för din egen domän? Det är oftast ett mejl från dig som någon har vidarebefordrat. DMARC lyckas då via DKIM, och du behöver inte göra något.
Göra rapporter läsbara
En rapport kan du öppna i en webbläsare eller ett program som visar XML. Får du många, finns det rapporttjänster (även gratis) och programvara med öppen källkod som samlar in rapporterna och gör översikter av dem. Tänk på att en sådan tjänst då ser vilka servrar som mejlar i din domäns namn. Välj en du litar på och som följer GDPR.
Ligger rapportadressen på en annan domän än din egen, till exempel hos en rapporttjänst? Då måste den andra domänen ge tillåtelse med en särskild post, till exempel jouwdomein.nl._report._dmarc.rapportdienst.example. Utan den posten skickar mottagare inga rapporter till den adressen. En rapporttjänst ordnar oftast den posten själv. Bakgrund: RFC 9990, kapitel 4.