Generator polityki DMARC

Skomponuj politykę DMARC à la carte i obserwuj, jak rekord DNS buduje się sam — albo wklej rekord, który już masz, i odczytaj go jako wybory opisane prostym językiem. Pozostają one zsynchronizowane w obie strony.

Czym jest DMARC?

DMARC (Domain-based Message Authentication, Reporting & Conformance) to niewielki rekord DNS, który mówi skrzynkom pocztowym na całym świecie, co robić z pocztą podającą się za pochodzącą z Twojej domeny, lecz niepotrafiącą tego potwierdzić. Mówiąc wprost: tak właśnie powstrzymujesz oszustów przed wysyłaniem do Twoich klientów przekonujących wiadomości phishingowych z adresu „you@yourcompany.com”.

Poczta e-mail nie ma wbudowanego sposobu na weryfikację, kto naprawdę wysłał wiadomość — każdy może wpisać Twój adres w polu „From”. Dwa starsze standardy, SPF i DKIM, pozwalają serwerowi odbierającemu sprawdzić, czy wiadomość faktycznie pochodzi z serwera, który autoryzowałeś. DMARC łączy je ze sobą: pozwala Ci powiedzieć odbiorcom, co robić, gdy te weryfikacje zawiodą, oraz prosi ich o wysyłanie raportów, byś mógł zobaczyć, kto wysyła pocztę jako Twoja domena.

SPF

Publiczna lista serwerów pocztowych, które mogą wysyłać pocztę w imieniu Twojej domeny. Odbiorca sprawdza serwer wysyłający na tej liście.

DKIM

Odporny na manipulacje podpis cyfrowy dodawany do każdej wiadomości, dzięki czemu odbiorca może potwierdzić, że nie została ona sfałszowana ani zmieniona po drodze.

DMARC

Działa ponad obydwoma. Decyduje, co dzieje się, gdy wiadomość nie przejdzie SPF i DKIM, oraz zbiera raporty — dokładnie to, co konfigurujesz poniżej.

Rekord, który buduje to narzędzie, publikujesz jako rekord TXT pod adresem _dmarc.yourdomain.com u swojego dostawcy DNS. Po zapisaniu zmiany mogą trochę potrwać, zanim rozejdą się po internecie („propagacja DNS”), więc raportowanie nie rozpocznie się od razu.

Zbuduj swoją politykę

Przełączaj opcje po lewej stronie, aby dopasować je do swojej sytuacji. Przeczytaj notatkę pod każdą z nich, jeśli masz wątpliwości — rekord DNS po prawej stronie aktualizuje się na bieżąco. Masz już rekord? Wklej go w pole rekordu, a opcje wypełnią się, aby go odzwierciedlić.

Kreator polityki

Wybierz potrzebne opcje — rekord aktualizuje się na bieżąco.

Twoja domena (opcjonalnie)

Egzekwowanie

p

Najważniejsze ustawienie: o co prosisz innych dostawców poczty w przypadku wiadomości, które nie przechodzą weryfikacji, a podają się za pochodzące od Ciebie.

Tylko monitorowanie. Odbiorcy nadal dostarczają niezweryfikowaną pocztę jak zwykle, ale wysyłają Ci raporty. Bezpieczny punkt startowy — obserwujesz przez kilka tygodni, zanim zaostrzysz reguły.

Zastosuj do procentu

pct

Zawór bezpieczeństwa: początkowo odbiorcy stosują Twoją politykę tylko do części poczty (wybranej losowo), aby błąd nie dotknął wszystkich naraz. Większość osób pozostawia tę wartość na 100%.

Polityka subdomen

sp

Ustaw osobną regułę dla subdomen, takich jak news.yourdomain.com lub mail.yourdomain.com. Pozostaw wyłączone, a będą po prostu podlegać głównej polityce powyżej.

Nieistniejące subdomeny

np

Bardziej rygorystyczna reguła wyłącznie dla subdomen, których nigdy nie skonfigurowano. Oszuści je uwielbiają, bo nie ma żadnej prawdziwej poczty, którą można by przypadkowo zablokować — dlatego odrzucanie jest tu zazwyczaj bezpieczne.

Zgodność DKIM

adkim

Jak ściśle domena podpisu DKIM musi pasować do Twojego adresu From. Złagodzona traktuje subdomenę (mail.yourdomain.com) jako pasującą do yourdomain.com; ścisła wymaga dokładnego dopasowania. Złagodzona to zwykły wybór.

Zgodność SPF

aspf

Ta sama idea dla SPF: jak ściśle domena serwera wysyłającego musi pasować do Twojego adresu From. Złagodzona pozwala dopasować subdomeny; ścisła wymaga dokładnego dopasowania. Złagodzona to zwykły wybór.

Raporty zbiorcze

rua

Adres e-mail, na który przychodzą codzienne raporty podsumowujące. Pokazują one, kto wysyła pocztę jako Twoja domena i czy przechodzi ona weryfikację — to cały powód, by zacząć od opcji Brak. Zdecydowanie zalecane.

Raporty o niepowodzeniach

ruf

Adres do szczegółowych raportów o pojedynczych wiadomościach, które nie przeszły weryfikacji. Przydatny do debugowania, ale większość dostawców już ich nie wysyła ze względów prywatności — dlatego jest opcjonalny.

Interwał raportowania

ri

Jak często chcesz otrzymywać raporty zbiorcze. W praktyce odbiorcy i tak prawie zawsze wysyłają je raz dziennie, więc wartość domyślną (86400 sekund = 24 godziny) można spokojnie pozostawić.

Rekord DNS

Opublikuj ten rekord TXT w swojej domenie.

Prawidłowy

Typ

TXT

Host

_dmarc

Dodaj to jako nowy rekord u swojego dostawcy DNS. „Typ” i „Host” to pola, o które prosi — niektórzy dostawcy wymagają w polu hosta tylko _dmarc i sami dodają domenę.

Wartość

Wklej tutaj istniejący rekord, a kreator zaktualizuje się, aby go odzwierciedlić.