Polityka DMARC to „none”: każdy może wysyłać e-maile w Twoim imieniu

Ostrzeżenie Cała domena Dostarczanie e-maili

Instrukcje ogólne. Otwórz ten artykuł z raportu PageCheck, aby zobaczyć go uzupełnionego o rekordy Twojej domeny i dokładne kroki u Twojego dostawcy DNS.

Co to jest

DMARC to rekord TXT pod _dmarc.example.com. Mówi serwerom pocztowym odbiorców, co zrobić z pocztą, która podaje się za wysłaną z Twojej domeny, ale nie przechodzi weryfikacji SPF i DKIM.

Co jest nie tak

Polityka to p=none, która tylko zbiera raporty. Poczta podszywająca się pod Twoją domenę nadal jest dostarczana.

Jak naprawić

1. Upewnij się, że każda usługa wysyłająca Twoją pocztę podpisuje ją kluczem DKIM. Poczta, która przechodzi weryfikację tylko dzięki SPF, nie przechodzi DMARC po przekazaniu dalej.

Google Workspace: admin.google.com → Apps → Google Workspace → Gmail → Authenticate email.
Microsoft 365: security.microsoft.com → Email authentication settings → DKIM.
Inne usługi (newsletter, sklep, fakturowanie): ich ustawienia uwierzytelniania domeny lub DKIM.

2. Odczekaj 3 dni, a potem sprawdź raporty. Raporty trafiają na adres podany w tagu rua= rekordu; serwis do raportów DMARC ułatwia ich odczytanie. W dniach od wykonania powyższych kroków każda usługa wysyłająca Twoją pocztę musi przejść weryfikację. Jeśli któryś jej nie przechodzi, najpierw napraw tego nadawcę i jeszcze nie zmieniaj polityki.

3. Zmień politykę. Zamień p=none na p=quarantine, a resztę rekordu zostaw bez zmian.

Otwórz rekordy DNS swojej domeny tam, gdzie zarządzany jest jej DNS: zwykle u rejestratora domeny, w firmie hostingowej lub w Cloudflare.
Edytuj rekord TXT o nazwie _dmarc i zmień jego wartość na: ten sam rekord z p=none zamienionym na p=quarantine
Zapisz. U większości dostawców DNS zmiana działa w ciągu godziny.

Później 4. Po 4 tygodniach bez błędów Twojej własnej poczty w raportach zmień w ten sam sposób p=quarantine na p=reject.

Enforce DMARC for example.com (found by PageCheck: the policy is p=none, so forged mail is still delivered).

Steps:
1. List everything that sends mail as @example.com, including SMTP / mail API settings in this codebase. For each, say whether it can pass SPF or DKIM aligned with example.com.
2. Make sure each sender signs with DKIM for example.com; tell me where to turn it on and which DNS records to add.
3. Stop here and tell me to come back in 3 days: DKIM needs up to 48 hours to start, and the reports need a few days of data.
4. Check with me in the DMARC reports that every sender from step 1 passes. If one fails, fix it and do not change the policy.
5. Only then change the TXT record _dmarc.example.com from p=none to p=quarantine, keeping the rest. Tell me the exact steps for my DNS host, or do it through its API if you have access.
6. Verify the record with a DNS-over-HTTPS query and report what changed.
Do not set p=reject.

Temat: example.com – prośba o egzekwowanie DMARC

Dzień dobry,

Sprawdzenie witryny (PageCheck) wykazało, że poczta podszywająca się pod example.com jest nadal dostarczana: nasza polityka DMARC to „p=none”.

Proszę o wykonanie w tej kolejności:
1. Upewnić się, że każda usługa wysyłająca naszą pocztę podpisuje ją kluczem DKIM.
2. Po około 3 dniach sprawdzić w raportach DMARC, czy nasza własna poczta (każda usługa, która ją wysyła) przechodzi weryfikację.
3. Jeśli wszystko przechodzi, zmień p=none na p=quarantine w rekordzie TXT _dmarc.example.com.

Dziękuję!

Sprawdź swoją stronę, aby zobaczyć, czy ma ten problem. Sprawdź stronę