I doména, která neposílá žádnou poštu, potřebuje DMARC

Doména, která neposílá žádné e-maily, zní jako doména, na které není co chránit. Je to naopak. Zaparkovaná jména, obranné registrace, staré značky, ten .net koupený jen proto, aby ho neměl nikdo jiný — nic legitimního z nich nikdy neodejde, takže je nikdo nesleduje, a přesně proto se zneužívají. Každá zpráva, která se takové domény dovolává, je z definice padělek; dokud ale nezveřejníte záznamy, které to říkají, přijímající servery to nemají jak poznat a padělky se doručují jako čí koli jiná pošta.

Opravou jsou tři malé DNS záznamy, z nichž žádný nemůže nic rozbít — žádná vaše pošta, kterou by rozbil, neexistuje. Právě to dělá z neodesílající domény ten snadný případ: opatrné, fázované nasazení, které potřebují odesílající domény, tady neplatí.

1 · SPF, které neopravňuje nikoho

TXT  @  v=spf1 -all

Tohle je celý záznam: žádné mechanismy a pak -all. Říká „žádný stroj na světě není oprávněn odesílat poštu jako tato doména“ — zveřejněné odmítnutí. Nezveřejnit nic není totéž: chybějící záznam znamená „žádná politika“ a přijímající servery posuzují každou zprávu samy. S -all selže každá SPF kontrola jména domény natvrdo a všude — a přesně tak to má být.

2 · DMARC na reject, s reportováním

TXT  _dmarc  v=DMARC1; p=reject; rua=mailto:<your reporting address>

p=reject říká přijímajícím serverům, ať vše, co v DMARC selže, rovnou odmítnou — a na této doméně selhává všechno, protože se jako ona nemá co ověřit. Odesílajícím doménám se radí blížit se k reject pomalu, přes monitoring a quarantine; ten žebřík existuje na ochranu jejich vlastní pošty — a neodesílající doména žádnou nemá. Reject první den je správná politika, ne ta odvážná. Subdomény ji dědí automaticky.

Adresa rua je půlka, kterou lidé vynechávají — a je to ta hlídací půlka: přijímající servery na ni posílají denní souhrnné reporty o každé zprávě, která se domény dovolávala. Na neodesílající doméně mají ty reporty zvláštní vlastnost — každý řádek v nich je něčí pokus. Žádné reporty znamenají, že vás nikdo nepodvrhuje; v den, kdy první dorazí, víte, že se jméno používá, odkud a že to přijímající servery odmítly.

3 · DKIM: není co zveřejnit, jeden volitelný zámek

TXT  *._domainkey  v=DKIM1; p=

Doména, která nic neposílá, nic nepodepisuje, takže žádné DKIM klíče ke zveřejnění nejsou — absence je správně. Volitelné přitvrzení výše je zástupný (wildcard) záznam s prázdným p=, který výslovně odvolává: prohlašuje, že pod doménou neexistuje platný DKIM klíč na žádném selektoru, takže padělaný podpis nemůže ani předstírat, že nějaký má. Jistota k jistotě, jakmile stojí p=reject; přeskočte ho, pokud váš DNS provider wildcard TXT záznamy odmítá.

Pokud ani nepřijímá: null MX

MX  @  0 .

Odesílání a příjem jsou dvě různá tvrzení — spousta domén přijímá poštu, ze které nikdy neodpovídá. Pokud ale tahle doména opravdu žádnou příchozí poštu nebere, null MX (RFC 7505) to říká výslovně: odesílatelé dostanou okamžité, čisté selhání místo čekání na jméno, které stejně nikdy neodpoví. Zveřejněte ho, jen když platí obě půlky.

A pak to hlídejte

Záznamy jsou pět minut práce. To, na čem záleží dál, je reportovací adresa na konci DMARC záznamu — někdo musí číst, co na ni chodí, a na zaparkovaném portfoliu je to přesně ta pošta, kterou nečte nikdo. Právě tohle je práce Sojky: přidejte doménu, označte ji jako neodesílající a aplikace doporučí přesně tuhle sadu záznamů, hlídá, že zůstává zveřejněná, a pošle push v den, kdy report ukáže, že jméno někdo použil. Neodesílající domény se do limitu domén v plánu nepočítají — hlídané portfolio je smysl, ne upsell.

Zkontrolujte si kteroukoli svou doménu zdarma a uvidíte, co dnes zveřejňuje — nebo začněte doprovodným průvodcem: Proč mít DMARC dřív, než se něco pokazí.