Jak skonfigurować DMARC — przewodnik krok po kroku

DMARC (Domain-based Message Authentication, Reporting & Conformance) mówi odbierającym serwerom pocztowym, co zrobić, gdy e-maile z Twojej domeny nie przejdą uwierzytelnienia. DMARC opiera się na SPF i DKIM, dając Ci kontrolę i wgląd w Twoją pocztę.

SPF sprawdza serwer nadawcy, DKIM sprawdza podpis, a DMARC decyduje, co się dzieje, gdy któryś z nich zawiedzie.

Wymagania wstępne

Zanim skonfigurujesz DMARC, powinieneś mieć:

rekord SPF skonfigurowany dla Twojej domeny
podpisywanie DKIM skonfigurowane u dostawcy poczty

DMARC działa, sprawdzając, czy przynajmniej jedno z SPF lub DKIM jest zgodne z domeną w nagłówku From:.

Krok 1: Utwórz monitorujący rekord DMARC

Zacznij od p=none — to tylko monitoruje, nie odrzucając żadnej poczty. Dodaj rekord TXT pod adresem _dmarc.yourdomain.com:

v=DMARC1; p=none; rua=mailto:[email protected]

To mówi odbierającym serwerom, by wysyłały zbiorcze raporty na Twój adres e-mail.

Krok 2: Przejrzyj raporty

Po kilku dniach otrzymasz raporty XML pokazujące, które serwery wysyłają pocztę z Twojej domeny i czy przechodzą SPF/DKIM. Przejrzyj je, by upewnić się, że Twoja legalna poczta poprawnie się uwierzytelnia.

Użyj analizatora raportów DMARC (istnieje wiele darmowych opcji), by przetworzyć XML na czytelny format.

Krok 3: Przejdź do kwarantanny

Gdy Twoja legalna poczta konsekwentnie przechodzi, zaktualizuj do p=quarantine:

v=DMARC1; p=quarantine; pct=10; rua=mailto:[email protected]

Wartość pct=10 oznacza zastosowanie polityki tylko do 10% niepowodzeń. Zwiększaj to stopniowo do 100% w miarę zdobywania pewności.

Krok 4: Wymuś odrzucaniem

Najsilniejsza polityka — wiadomości, które nie przejdą, są od razu odrzucane:

v=DMARC1; p=reject; rua=mailto:[email protected]; ruf=mailto:[email protected]

Parametry rekordu DMARC

Tag	Przykład	Opis
`p`	`p=reject`	Polityka: none, quarantine lub reject
`sp`	`sp=quarantine`	Polityka subdomen (domyślnie taka jak p, jeśli pominięta)
`pct`	`pct=50`	Procent poczty, do którego stosuje się politykę (1-100)
`rua`	`rua=mailto:[email protected]`	Miejsce docelowe raportów zbiorczych
`ruf`	`ruf=mailto:[email protected]`	Miejsce docelowe raportów szczegółowych (o błędach)
`adkim`	`adkim=s`	Dopasowanie DKIM: s (ścisłe) lub r (rozluźnione)
`aspf`	`aspf=r`	Dopasowanie SPF: s (ścisłe) lub r (rozluźnione)

Wyjaśnienie dopasowania DMARC

DMARC wymaga „dopasowania" — domena w nagłówku From: e-maila musi pasować do domeny użytej w uwierzytelnianiu SPF lub DKIM:

Rozluźnione (r) — subdomeny są dozwolone (domyślne). mail.example.com jest zgodne z example.com
Ścisłe (s) — wymagane dokładne dopasowanie. mail.example.com NIE jest zgodne z example.com

Częste błędy

Przeskoczenie od razu do p=reject bez wcześniejszego monitorowania — legalna poczta może zostać odrzucona
Umieszczenie rekordu w domenie głównej zamiast pod _dmarc.yourdomain.com
Brak wcześniejszej konfiguracji SPF i DKIM
Zapomnienie o dodaniu rua — bez raportów nie możesz monitorować, co się dzieje

Sprawdź swój rekord DMARC

Użyj testu bezpieczeństwa e-mail, by zweryfikować poprawność konfiguracji DMARC:

Sprawdź swój DMARC →← Czym jest SPF?

Wypróbuj na swojej domenie

Zobacz teorię w praktyce — uruchom Bezpieczeństwo e-mail dla własnej domeny.