Hva er en DMARC-record, og hvorfor trenger bedriften det?

Hva en DMARC-record er

Recorden publiseres som en tekstoppføring i DNS under navnet _dmarc på domenet ditt. Den inneholder en policy for meldinger som ikke består kontrollen, og en adresse der rapportene skal sendes. Forkortelsen står for Domain-based Message Authentication, Reporting and Conformance.

Recorden gjør to ting samtidig. Den gir mottakeren en instruks om hva som skal skje med meldinger som feiler, og den ber om rapporter tilbake til deg. Rapportene viser hvilke kilder som sender e-post i domenets navn, også tredjeparter du kanskje ikke visste om.

Uten en record har mottakerens server ingen instruks å følge. Det betyr ikke at alt slipper gjennom, men du verken styrer eller ser hva som skjer. I praksis gjør det domenet enklere å bruke i phishing mot kundene dine. Sammenhengen mellom domene, DNS og e-post er forklart i domene og e-post for bedrifter: komplett guide.

Slik virker DMARC sammen med SPF og DKIM

DMARC er ikke en autentiseringsmetode i seg selv, men en ramme rundt SPF og DKIM. SPF sjekker om serveren som sender meldingen har lov til å sende for domenet. DKIM sjekker en signatur i selve meldingen. DMARC krever at minst én av de to består.

I tillegg må domenet som bestod kontrollen samsvare med domenet i From-adressen. Dette kalles alignment, og det er her de fleste feilene oppstår. En melding kan bestå SPF fordi den ble sendt fra en godkjent server, og likevel feile DMARC fordi From-adressen viser et annet domene. Alignment kan settes til relaxed, som godtar underdomener, eller strict, som krever eksakt treff.

Derfor må SPF og DKIM være på plass før DMARC gir mening. Rekkefølgen og selve oppsettet er beskrevet i slik setter du opp SPF, DKIM og DMARC. Endringene gjøres der navnetjeneren ligger, ofte hos webhotellet eller der domenet er registrert.

Policyen: none, quarantine eller reject

Policyen står i taggen p= og er selve instruksen til mottakeren. p=none betyr at meldinger som feiler ikke skal behandles annerledes. De leveres som normalt, men du får rapporter. Dette er overvåkingsmodus, og det er nesten alltid riktig sted å begynne.

p=quarantine ber mottakeren behandle slike meldinger som mistenkelige, i praksis ofte ved å legge dem i søppelpost. p=reject ber om at de avvises. Det er de to siste som faktisk stopper spoofing, men de krever at du vet at all legitim e-post består kontrollen.

Det frister å gå rett på reject fordi det føles tryggest. Risikoen er at fakturaer, varsler fra fagsystemer eller en tredjepart som sender på vegne av deg forsvinner. Rapporteringen i none-fasen er nettopp det som gjør det forsvarlig å stramme inn senere.

Slik ruller du ut DMARC i praksis

Start med å bekrefte at domenet har gyldig SPF og at DKIM-signering er aktiv for all e-post du sender. Lag samtidig en liste over alle som sender på vegne av domenet: nettbutikk, fakturaverktøy, booking, nyhetsbrev og regnskapsprogram. Det er disse som ellers blir borte når policyen strammes.

Legg så inn en tekstoppføring på _dmarc. Du kommer langt med tre tagger: versjon, policy og rapportadresse. Sett policyen til overvåking først. Recorden er kort, men en skrivefeil i navnet gjør at den ikke blir funnet i det hele tatt.

La oppsettet stå i noen uker mens du leser rapportene. Se etter avsendere som feiler, og vurder om de er legitime. Legitime kilder retter du opp eller fører inn i SPF og DKIM. Ukjente kilder er ofte nettopp det DMARC skal stoppe. Når alt legitimt består, flytter du policyen til quarantine og senere til reject. Husk underdomener: e-post derfra kan feile selv om hoveddomenet er rent.

Vanlige feil, og hva du gjør videre

Den vanligste feilen er å sette reject før rapportene er gjennomgått. Det oppdages gjerne først når en kunde sier at tilbudet aldri kom fram, eller når en faktura blir liggende i søppelposten hos mottakeren.

Den nest vanligste er videresending. En videresendt melding kan feile SPF fordi den ikke lenger sendes fra den opprinnelige serveren. DKIM overlever ofte videresending, og det er derfor du vil ha begge mekanismene og ikke bare én. En tredje feil er å tro at DMARC løser alt: recorden hindrer misbruk av ditt eget domene i From-feltet, men stopper ikke phishing fra et domene som ligner på ditt. Grunnlaget er likevel e-post på eget domene.

Til slutt må recorden vedlikeholdes. Bytter du e-postleverandør eller legger til et nytt system som sender varsler, må SPF og DKIM oppdateres. Ellers begynner DMARC å feile på trafikk du selv regner som intern. Nettsaga setter opp domene, e-post og DNS for bedrifter, og du kan se domenetjenestene våre eller book en demo via demo om du vil ha hjelp med oppsettet.

Hva recorden gir bedriften

For en liten bedrift handler DMARC først og fremst om to ting: at kunder ikke skal motta falske meldinger i ditt navn, og at din egen e-post skal komme fram dit den skal. Rapporteringen gjør det mulig å oppdage misbruk før kundene selv gjør det.

En godt vedlikeholdt record er også et tegn på et ryddig e-postoppsett. Den tvinger deg til å ha oversikt over hvem som sender på vegne av domenet, og den gir deg dokumentasjon på at legitim trafikk er identifisert. Det er nyttig både ved leverandørbytte og når noe først går galt.

Vanlige spørsmål

Hva betyr p=none i en DMARC-record?

p=none er overvåkingsmodus. Meldinger som feiler autentiseringen leveres som normalt, men du mottar rapporter om resultatet. Du stopper ingen spoofing ennå, men du får datagrunnlaget som trengs for å stramme inn policyen senere.

Er DMARC nødvendig for en liten bedrift?

Det finnes ingen generell regel som pålegger alle bedrifter dette, men uten record har du ingen instruks til mottakerne og ingen oversikt over misbruk av domenet. Flere store e-postleverandører stiller også krav til avsendere, så recorden er i praksis blitt en del av et ryddig e-postoppsett.

Kan jeg ha DMARC uten SPF og DKIM?

Du kan publisere recorden, men den gir liten effekt. DMARC bygger på at minst én av SPF eller DKIM består for ditt domene. Mangler begge, vil meldinger feile kontrollen, og du risikerer at legitim e-post blir rammet når policyen strammes.

Hva er DMARC alignment?

Alignment betyr at domenet som bestod SPF- eller DKIM-kontrollen, må samsvare med domenet i From-adressen. Uten treff her består ikke meldingen DMARC, selv om SPF eller DKIM isolert sett var i orden.

Hva skjer hvis domenet mangler DMARC-record?

Da bestemmer mottakerens server selv hva som skjer med meldinger som utgir seg for å komme fra deg. Noen havner i søppelpost, andre slipper gjennom. Du får ingen rapporter og merker først problemet når kunder eller samarbeidspartnere reagerer.