DMARC: τι πρέπει να κάνουν οι παραλήπτες με ψεύτικα emails

Ενότητα 4: Εγγραφές για email · Χρόνος ανάγνωσης: 10 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να εξηγήσετε πώς το DMARC συνδυάζει το SPF και το DKIM, να συντάξετε μια έγκυρη εγγραφή DMARC και να αυστηροποιήσετε την πολιτική βήμα προς βήμα.

Βασικές έννοιες: DMARC, _dmarc, v=DMARC1, πολιτική p=none / quarantine / reject, ευθυγράμμιση (alignment), αναφορές rua, sp= και np=, δοκιμαστική λειτουργία t=, μία μόνο εγγραφή DMARC

Το κομμάτι που λείπει

Το SPF (μάθημα 4.3) ελέγχει από ποιον server προέρχεται ένα email, αλλά κοιτάζει τη τεχνική διεύθυνση envelope. Το DKIM (μάθημα 4.4) ελέγχει μια ψηφιακή υπογραφή, αλλά αυτή μπορεί να προέρχεται από οποιοδήποτε domain. Ένας απατεώνας μπορεί λοιπόν να στείλει ένα email με "Από: info@example.com" που περνάει κανονικά το SPF για το δικό του domain και είναι κανονικά υπογεγραμμένο από το δικό του domain.

Το DMARC (Domain-based Message Authentication, Reporting and Conformance) κλείνει αυτόν τον κύκλο. Θέτει μία ερώτηση: ανήκει ο επιτυχημένος έλεγχος SPF ή DKIM στο domain που βλέπει ο παραλήπτης στη διεύθυνση "Από:"; Αυτό ονομάζεται ευθυγράμμιση (alignment). Και εσείς ενημερώνετε τους παραλήπτες τι πρέπει να κάνουν αν η απάντηση είναι όχι.

Το DMARC περιγράφηκε το 2015 στο RFC 7489. Τον Μάιο του 2026 δημοσιεύτηκε η αναθεωρημένη έκδοση ως επίσημο πρότυπο internet: RFC 9989 (με RFC 9990 και 9991 για τις αναφορές). Υπάρχουσες εγγραφές με v=DMARC1 παραμένουν έγκυρες.

Πώς αποφασίζει ένας παραλήπτης

Όταν φτάνει ένα email με αποστολέα info@example.com, ο παραλήπτης κάνει τα εξής:

1. SPF: προέρχεται το email από επιτρεπόμενο server, και ανήκει το domain envelope στο example.com;
2. DKIM: υπάρχει έγκυρη υπογραφή, και ανήκει το domain που υπογράφει (d=) στο example.com;
3. DMARC: πέτυχε τουλάχιστον ένα από τα δύο και είναι ευθυγραμμισμένο; Τότε το email είναι εντάξει. Αν όχι, ο παραλήπτης ακολουθεί την πολιτική σας.

Αρκεί το ένα από τα δύο. Γι' αυτό το DKIM είναι τόσο σημαντικό για υπηρεσίες που στέλνουν με δικιά τους διεύθυνση envelope, όπως πολλές υπηρεσίες newsletter: εκεί το SPF πετυχαίνει, αλλά όχι για το δικό σας domain. Μόνο μια υπογραφή DKIM με d=example.com το κάνει τότε εντάξει.

Το "ανήκει σε" σημαίνει εξ ορισμού: το ίδιο organizational domain. Το nieuws.example.com ανήκει στο example.com. Αυτό ονομάζεται ευθυγράμμιση relaxed. Με adkim=s ή aspf=s (strict) πρέπει να είναι ακριβώς το ίδιο domain. Για σχεδόν όλους, το relaxed είναι κατάλληλο.

Πώς μοιάζει μια εγγραφή DMARC;

Μια εγγραφή DMARC είναι μια εγγραφή TXT στο όνομα _dmarc του domain σας:

_dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

Αποτελείται από στοιχεία (tags) με ένα ερωτηματικό ανάμεσά τους.

Επιλογή πολιτικής

Συνετή σειρά:

1. Πρώτα τακτοποιήστε το SPF και το DKIM, για όλες τις υπηρεσίες που στέλνουν email εκ μέρους σας: τον πάροχο email σας, τον ιστότοπό σας, την υπηρεσία newsletter σας, το λογισμικό λογιστικής σας, το ηλεκτρονικό κατάστημά σας.
2. Ξεκινήστε με p=none και μια διεύθυνση rua. Παρακολουθήστε τις αναφορές για μερικές εβδομάδες για να δείτε ποιες υπηρεσίες στέλνουν email εκ μέρους του domain σας και αν πετυχαίνουν.
3. Προχωρήστε στο p=quarantine, και αν όλα παραμένουν καλά, προχωρήστε στο p=reject.

Αν αμφιβάλλετε ότι όλες οι υπηρεσίες σας είναι σωστά ρυθμισμένες, μην προχωρήσετε αμέσως στο reject. Μια ξεχασμένη υπηρεσία (για παράδειγμα το πρόγραμμα που στέλνει τα τιμολόγιά σας) δεν θα παραδίδεται πλέον.

Ορισμένες εταιρείες hosting ρυθμίζουν αμέσως μια αυστηρή εγγραφή DMARC (p=reject) σε ένα νέο πακέτο. Αυτό είναι ασφαλές εφόσον όλο το email σας περνάει από τους servers τους. Αν στέλνετε email και μέσω άλλων υπηρεσιών, ελέγξτε πρώτα το SPF και το DKIM αυτών των υπηρεσιών.

Αναφορές

Με το rua=mailto:dmarc@example.com λαμβάνετε από μεγάλους παραλήπτες καθημερινά μια σύνοψη (ένα αρχείο XML) για το ποιος έστειλε email εκ μέρους του domain σας και αν αυτό πέτυχε. Χρήσιμο, αλλά τεχνικό. Χρησιμοποιήστε μια ξεχωριστή διεύθυνση για αυτό: σύντομα θα λαμβάνετε αρκετές την ημέρα. Υπάρχουν υπηρεσίες που κάνουν τις αναφορές αναγνώσιμες.

Αν στέλνετε αναφορές σε διεύθυνση σε άλλο domain (για παράδειγμα μια υπηρεσία αναφορών), τότε αυτό το άλλο domain πρέπει να δώσει άδεια στο δικό του DNS. Η υπηρεσία το ρυθμίζει συνήθως μόνη της.

Συνηθισμένα λάθη

• Δύο εγγραφές DMARC. Επιτρέπεται μόνο μία στο _dmarc. Με δύο, ο παραλήπτης συμπεριφέρεται σαν να μην έχετε DMARC. Τροποποιήστε την υπάρχουσα εγγραφή.
• Στο λάθος όνομα. Η εγγραφή ανήκει στο _dmarc.example.com, όχι στο ίδιο το example.com.
• Τυπογραφικά λάθη στα tags. Το p=reject λειτουργεί, το p=rejected ή το policy=reject όχι. Χωρίς έγκυρο p=, η εγγραφή μετράει ως p=none.
• Ενεργοποίηση του DMARC πριν τακτοποιηθούν το SPF και το DKIM. Τότε απορρίπτετε τα δικά σας emails.
• Πολύ γρήγορος επανέλεγχος μετά από μια αλλαγή. Μια εγγραφή DMARC έχει μερικές φορές μεγάλο TTL (για παράδειγμα τέσσερις ώρες). Μετά από μια αλλαγή, θα βλέπετε λοιπόν ακόμα για λίγο την παλιά εγγραφή.

Γιατί έχει σημασία

Από τον Φεβρουάριο του 2024, το Gmail και το Yahoo απαιτούν από αποστολείς μεγάλου όγκου email (περισσότερα από περίπου 5.000 την ημέρα) μια εγγραφή DMARC, τουλάχιστον με p=none, και επιτυχή ευθυγραμμισμένο έλεγχο SPF ή DKIM. Η Microsoft απαιτεί το ίδιο από τον Μάιο του 2025 για το Outlook.com και το Hotmail. Και για μικρούς αποστολείς, το DMARC βελτιώνει την παράδοση και προστατεύει τους πελάτες σας από ψεύτικα τιμολόγια στο όνομά σας.

Στην πράξη: έτσι φαίνεται σε ένα panel

Σε αυτό το παράδειγμα χρησιμοποιούμε το DirectAdmin. Στο DNS Administration κάνετε κλικ στο μολύβι δίπλα στην εγγραφή TXT _dmarc, ή δημιουργείτε μια νέα εγγραφή TXT με όνομα _dmarc και επιλέγετε στο TXT Record Type το DMARC. Στο Domain policy type επιλέγετε None, Quarantine ή Reject· στο Aggregate Email (RUA) συμπληρώνετε προαιρετικά μια διεύθυνση αναφορών. Το Το WebOké μου διαθέτει παρόμοιο βοήθημα DMARC στην καρτέλα DNS.

Αν το panel σας δεν έχει βοήθημα, δημιουργείτε μια απλή εγγραφή TXT στο _dmarc και πληκτρολογείτε μόνοι σας το κείμενο. Το αποτέλεσμα είναι το ίδιο.

Σύνοψη

• Το DMARC ελέγχει αν πετυχαίνει το SPF ή το DKIM για το domain στη διεύθυνση "Από:" (ευθυγράμμιση).
• Η εγγραφή βρίσκεται στο _dmarc.<domain>, ξεκινά με v=DMARC1 και έχει πολιτική p=none, quarantine ή reject.
• Πρώτα SPF και DKIM για όλες τις υπηρεσίες, μετά p=none με αναφορές, μετά σταδιακή αυστηροποίηση.
• Ακριβώς μία εγγραφή DMARC ανά domain.

Κουίζ

Άσκηση

Άσκηση Z4.5: Αναζήτηση DMARC. Αναζητήστε την εγγραφή DMARC του sidn.nl (της ιστοσελίδας του SIDN, του μητρώου του .nl στην Ολλανδία) (ή του δικού σας domain). Επικολλήστε την πλήρη εγγραφή και συμπληρώστε ποια πολιτική (p=) αναγράφεται.

Άσκηση O4.5: Ρύθμιση στη ζώνη εξάσκησής σας. Στη ζώνη εξάσκησης στέλνετε τις αναφορές σε μια σταθερή διεύθυνση εξάσκησης· στο πραγματικό domain σας χρησιμοποιείτε μια δική σας διεύθυνση. Δημιουργήστε στη ζώνη εξάσκησής σας <code>.dnspractice.eu μια εγγραφή DMARC με πολιτική quarantine (ή none αν θέλετε να ξεκινήσετε με παρακολούθηση) και αναφορές στο dmarc@dnspractice.eu (rua=mailto:dmarc@dnspractice.eu).

Περαιτέρω ανάγνωση

Τα βήματα σε αυτά τα άρθρα ισχύουν για τα panels του WebOké· σε άλλα panels η διαδικασία είναι παρόμοια.

• Τι είναι το DMARC; Εξήγηση σε απλή γλώσσα
• Εγχειρίδιο DirectAdmin 5.9: DMARC instellen
• Δημιουργία εγγραφής DMARC στο DirectAdmin
• Εγχειρίδιο WebOké 5.5: DNS βοηθήματα: MX, SPF, DMARC, CAA και SRV
• Δημόσιος έλεγχος email (SPF, DMARC, MX): https://www.weboke.gr/elegchos-email, και το mailtest του internet.nl: https://internet.nl
• RFC 9989 (DMARC), RFC 9990 (αναφορές)· ιστορικά το RFC 7489