Co je DMARC
DMARC je zkratka pro Domain-based Message Authentication, Reporting and Conformance. Jedná se o pokročilý mechanismus e-mailové autentizace, který pomáhá chránit domény proti phishingu, spoofingu a zneužití identity odesílatele. Navazuje na technologie SPF a DKIM a sjednocuje jejich výsledky do jednoho kontrolního rámce. Díky tomu umožňuje držiteli domény určit, jak mají být zpracovány e-maily, které se za jeho doménu pouze vydávají.
Pokud SPF a DKIM nemáte nastavené, je nutné začít právě u nich. Bez těchto dvou technologií nedává DMARC smysl, protože na jejich výsledcích přímo staví.
Jak DMARC funguje
Základem DMARC je kontrola adresy odesílatele uvedené v hlavičce From. Příjemce e-mailu ověřuje, zda zpráva skutečně pochází z domény, kterou deklaruje. Proces probíhá takto:
- Nejprve se vyhodnotí SPF a DKIM.
- Následně DMARC zkontroluje, zda alespoň jeden z těchto mechanismů odpovídá doméně uvedené v poli From.
- Pokud ověření neproběhne úspěšně, DMARC rozhodne, jak se má s e-mailem naložit.
Držitel domény může definovat politiku pro neúspěšné zprávy. Může například určit, že mají být:
- pouze monitorovány (p=none),
- označeny jako spam (p=quarantine),
- nebo zcela odmítnuty (p=reject).
To znamená, že pokud se někdo pokusí odeslat falešný e-mail vaším jménem, příjemcův server může takovou zprávu automaticky zablokovat.
Co DMARC umožňuje navíc
DMARC není jen kontrolní mechanismus. Přináší i další důležité funkce:
- Definování politiky pro zacházení s neověřenými e-maily
- Zpětnou vazbu – možnost nastavit, kam mají být zasílány reporty o výsledcích ověřování
- Postupné nasazení – lze aplikovat politiku jen na určité procento zpráv a ochranu postupně zpřísňovat
- Centrální kontrolu reputace domény
Právě reporting je silná stránka DMARC. Díky němu získáte přehled o tom, kdo a odkud se snaží odesílat e-maily z vaší domény.
DMARC záznam v DNS
DMARC se nastavuje pomocí TXT záznamu v DNS domény. Záznam zveřejňuje držitel domény a kontrolují jej servery příjemců. Minimální podoba záznamu může vypadat například takto: Název záznamu: _dmarc.mojedomena.cz Obsah záznamu: v=DMARC1; p=none; Tímto zápisem splníte základní podmínku pro validaci existence DMARC záznamu. Politika p=none znamená, že se e-maily pouze monitorují a nejsou automaticky odmítány. Pokročilejší konfigurace může obsahovat další parametry, například adresu pro zasílání reportů (rua=), procentuální uplatnění politiky (pct=) nebo detailnější pravidla vyhodnocení.
Jak ověřit správnost nastavení
Po přidání záznamu je vhodné provést DMARC check, tedy kontrolu správnosti konfigurace. Ověřuje se zejména:
- existence TXT záznamu v DNS,
- správná syntaxe,
- platná hodnota verze (v=DMARC1),
- nastavená politika.
Nesprávná syntaxe nebo chybějící parametry mohou způsobit, že DMARC nebude fungovat podle očekávání.