DMARC-Eintrag erstellen

Schreiben Sie den DMARC-Eintrag Ihrer Domain Einstellung für Einstellung: die Richtlinie, den Anteil der E-Mails, für den sie gilt, wohin Berichte gehen und wie genau SPF und DKIM passen müssen. Beginnen Sie mit p=none und ziehen Sie dann an.

Der Eintrag wird in Ihrem Browser erstellt: Nichts, was Sie eingeben, wird an uns gesendet.

Ihre Domain

DMARC sagt Empfängern, was mit E-Mails geschehen soll, die vorgeben, von Ihrer Domain zu kommen, aber an SPF und DKIM scheitern, und wohin sie ihre täglichen Berichte senden.

RichtlinieRichtlinie für SubdomainsTestmodus (t=y)Mit t=y behandeln Empfänger nach RFC 9989 reject wie quarantine und quarantine wie none. Empfänger, die noch RFC 7489 folgen, ignorieren t= und wenden die volle Richtlinie an.Tägliche Berichte senden anEine oder mehrere Adressen. Perimetry Cloud gibt Ihnen eine, die sie für Sie liest.Fehlerberichte senden an (optional)Nur noch wenige Anbieter senden sie, und sie können personenbezogene Daten enthalten.DKIM-AlignmentSPF-Alignment

Alte Einstellung: pct (RFC 7489)

Anteil der E-Mails, für den die Richtlinie gilt (%)Seit RFC 9989 veraltet und von Empfängern nach dieser Norm ignoriert; manche Empfänger, die noch RFC 7489 folgen, lesen es. Lassen Sie 100 stehen und nutzen Sie stattdessen t=y.

Eintrag nach dem Veröffentlichen prüfen Generatoren für CAA, MTA-STS und security.txt

Was der Generator schreibt

Die Richtlinie und ihre Einführung: p= none, quarantine oder reject; sp= für Subdomains, wenn sie abweichen soll; und t=y, der Testmodus von RFC 9989, während Sie eine strengere Richtlinie ausprobieren: Empfänger nach dieser Norm wenden die Richtlinie eine Stufe niedriger an (reject wie quarantine, quarantine wie none), Empfänger, die noch RFC 7489 folgen, ignorieren t= und wenden sie voll an. pct, der Anteil der E-Mails aus der alten Norm, steht abseits als alte Einstellung.
Berichtsadressen: rua= für die täglichen aggregierten Berichte und ruf= für Fehlerberichte, jeweils als mailto:-Adresse, wie Empfänger es verlangen.
Alignment: adkim= und aspf= erscheinen nur, wenn Sie strict wählen: relaxed ist der Standard und wird weggelassen, damit der Eintrag kurz bleibt.
Eine Warnung für Berichte an andere Domains: Liegt eine Berichtsadresse auf einer anderen Domain, nennt der Generator den Autorisierungseintrag, den diese Domain veröffentlichen muss, sonst senden Empfänger nichts.
Der richtige Name: Der Eintrag gehört unter _dmarc.<Ihre Domain>; der Generator zeigt diesen Namen mit Ihrer Domain.

So führen Sie DMARC ein

Woche 0: p=none mit rua: Veröffentlichen Sie den Eintrag und lesen Sie die aggregierten Berichte: Sie listen jeden Server auf, der E-Mails im Namen Ihrer Domain sendet.
Wochen 2 bis 4: Absender korrigieren: Jede legitime Quelle muss SPF oder DKIM mit Ihrer eigenen Domain bestehen. Richten Sie DKIM für jeden Dienst ein oder SPF mit eigenem Return-Path.
Dann p=quarantine: Gefälschte E-Mails landen im Spam. Beobachten Sie die Berichte zwei bis vier Wochen: Nichts Legitimes darf scheitern.
Dann p=reject: Gefälschte E-Mails werden abgewiesen. Lesen Sie die Berichte weiter: Ein später hinzugekommener Dienst taucht dort zuerst auf.

Fehler, die Sie beim DMARC-Eintrag vermeiden sollten

Ein DMARC-Eintrag ist kurz, aber einige Fehler blockieren Ihre eigenen E-Mails oder lassen Sie im Dunkeln. Hier sind sie, mit dem Weg, sie zu vermeiden.

p=reject am ersten Tag

Ursache. Newsletter, Rechnungen oder ein Helpdesk, die noch nicht aligned sind, werden sofort abgewiesen, und Sie erfahren es von Ihren Kunden.

Behebung. Beginnen Sie mit p=none und einer rua-Adresse, und gehen Sie erst weiter, wenn die Berichte alle legitimen Quellen als bestanden zeigen.

Der Eintrag unter dem falschen Namen

Ursache. Auf der Domain selbst veröffentlicht oder als _dmarc.beispiel.de.beispiel.de, weil die Oberfläche die Zone anhängt: Tools melden dann „No DMARC record found“.

Behebung. Nennen Sie ihn nur _dmarc; die Oberfläche ergänzt die Domain. Prüfen Sie ihn nach dem Veröffentlichen mit dem DMARC-Check.

Eine Berichtsadresse ohne mailto:

Ursache. rua=dmarc@beispiel.de ist ungültig: Empfänger senden keine Berichte.

Behebung. Schreiben Sie rua=mailto:dmarc@beispiel.de. Der Generator ergänzt mailto: für Sie.

Berichte an eine andere Domain ohne deren Freigabe

Ursache. Empfänger senden Berichte an eine andere Domain nur, wenn diese <Ihre Domain>._report._dmarc.<deren Domain> veröffentlicht hat: Sonst werden sie stillschweigend verworfen.

Behebung. Verwenden Sie eine Adresse Ihrer eigenen Domain oder einen Dienst, der den Autorisierungseintrag für Sie veröffentlicht.

Jahrelang bei p=none bleiben

Ursache. Der Eintrag existiert und Berichte kommen an, aber gefälschte E-Mails werden weiter zugestellt: Tools melden „DMARC policy not enabled“.

Behebung. Sobald die Berichte sauber sind, wechseln Sie zu quarantine, dann zu reject. Perimetry Cloud sagt Ihnen, wann jeder Schritt sicher ist.

Zu früh striktes Alignment

Ursache. adkim=s oder aspf=s lässt Dienste scheitern, die mit einer Subdomain wie mail.beispiel.de signieren oder senden, obwohl sie Ihnen gehören.

Behebung. Bleiben Sie bei relaxed, bis die Berichte zeigen, dass jede Quelle die exakte Domain nutzt.

Fragen

Wo veröffentliche ich den DMARC-Eintrag?

Als TXT-Eintrag mit dem Namen _dmarc auf Ihrer Domain; die meisten DNS-Oberflächen ergänzen die Domain im Namen selbst.

Welche Adresse soll die Berichte erhalten?

Ein Postfach, das Sie oder ein Tool lesen: Aggregierte Berichte sind komprimierte XML-Dateien, bei einer aktiven Domain mehrere am Tag. Unser DMARC-Berichtsleser öffnet sie in Ihrem Browser, und Perimetry Cloud kann sie jeden Tag empfangen und lesen.

Soll ich Fehlerberichte (ruf) anfordern?

Das ist optional. Nur noch wenige Empfänger senden sie, und sie können Teile von Nachrichten und E-Mail-Adressen enthalten, also personenbezogene Daten. Aggregierte Berichte reichen für die Einführung von DMARC.

Wie lange dauert es bis p=reject?

Meist vier bis acht Wochen insgesamt: zwei bis vier bei none, dann zwei bis vier bei quarantine, solange die Berichte keine legitime Quelle als gescheitert zeigen.

Wird der Eintrag auf Ihren Servern erstellt?

Nein, in Ihrem Browser. Nichts, was Sie eingeben, wird an uns gesendet.