So lesen Sie DMARC-Sammelberichte

Was ein DMARC-Bericht ist

Empfangende Mailserver, die Ihre rua-Adresse im DNS sehen, senden meist täglich einen XML-Bericht zurück, der jede Nachricht zusammenfasst, die sie verarbeitet haben und die vorgibt, von Ihrer Domain zu stammen — eine laufende Erfassung genau dessen, wer als Sie versendet.

Warum sie wichtig sind

Ohne Berichte ist der Wechsel zu p=reject eine Vermutung. Berichte zeigen jede für Ihre Domain genutzte Versandquelle — die legitimen, die Sie konfiguriert haben, die legitimen, die Sie vergessen haben, und alles Unautorisierte —, sodass Sie SPF-/DKIM-Abdeckung reparieren oder ergänzen können, bevor die Durchsetzung echte Mail blockiert.

Was tatsächlich enthalten ist

Jeder Bericht nennt die berichtende Organisation und enthält pro Quell-IP einen Eintrag: wie viele Nachrichten sie gesendet hat, welche Disposition DMARC angewendet hat, sowie die SPF- und DKIM-Ergebnisse und die Domains, gegen die diese Prüfungen ausgewertet wurden.

Die Rohdatei lesen

Berichte kommen als gzip- oder zip-komprimierte XML-Anhänge an, weshalb sie fast niemand von Hand liest — ein Parser oder ein Dashboard, das das XML in eine lesbare Tabelle verwandelt, ist der praktische Weg, mit einer echten Menge an Berichten zu arbeiten.

Worauf zu achten ist

• Eine Quelle, die Sie als legitim erkennen, die aber SPF oder DKIM nicht besteht — meist ein fehlendes SPF-include oder ein nicht konfigurierter DKIM-Selector, der behoben werden muss
• Eine Quelle, die Sie überhaupt nicht erkennen und die als Ihre Domain versendet — ein möglicher Spoofing-Versuch oder unautorisierte Nutzung, die es wert ist, untersucht zu werden, bevor sie einfach blockiert wird

Einen DMARC-Bericht analysieren