Proč mít DMARC dřív, než se něco pokazí
E-mail byl navržen tak, že řádek From je jen text. Kdokoli odkudkoli může poslat zprávu, která tvrdí, že je z vaší domény, a nic v protokolu mu v tom nebrání. SPF a DKIM existují, aby dokázaly, odkud pošta doopravdy přišla — samy o sobě ale nenesou žádný pokyn a přijímající server, který vidí jejich selhání, může jen hádat. DMARC je chybějící kus: DNS záznam, který ty kontroly sváže s viditelnou adresou From a předem řekne každému velkému přijímajícímu serveru, co udělat, když u něj zpráva dovolávající se vašeho jména selže.
Co dostanete první den
První, co vám DMARC dá, není ochrana — je to zrak. Záznam s p=none na doručování nemění nic; jen žádá přijímající servery o denní souhrnné reporty: které servery odesílaly poštu jako vaše doména, kolik a jestli se ověřila. Gmail, Microsoft, Yahoo a většina velkých přijímajících serverů to respektuje. Dokud tu žádost nezveřejníte, ty reporty neexistují — není žádný log, který byste si zpětně přečetli v den, kdy ho poprvé budete potřebovat.
Většinu majitelů domén vlastní reporty překvapí. Fakturační nástroj, ke kterému se kdosi přihlásil před lety, newsletterová platforma, webový server posílající resety hesel — a dost často i odesílatelé, kteří nejsou ničí: adresy na jiných kontinentech dávající vaše jméno na zprávy, které jste nikdy neposlali.
Co vás stojí ho nemít
- Cizí podvod nosí vaše jméno. Fakturační podvody a phishing si téměř vždy půjčují skutečnou doménu — a doména bez DMARC politiky je ta snadná volba: přijímající servery nemají pokyn padělek odmítnout, takže se doručí. A doručí se vašim zákazníkům a dodavatelům — těm, kdo jménu věří nejvíc.
- Vaše vlastní pošta se stane druhořadou. Od roku 2024 velcí poskytovatelé schránek DMARC od hromadných odesílatelů rovnou vyžadují a pošta z neověřených domén se čím dál víc filtruje z podezření. Záznam už není volitelná hygiena; je součástí toho, co „doručitelné“ znamená.
- Dozvíte se to pozdě, nebo nikdy. Bez reportů je prvním příznakem podvržení vaší domény obvykle zmatená odpověď, varování od partnera — nebo vůbec nic, zatímco to běží dál.
Žebřík — a proč je to žebřík
DMARC má tři politiky a mají se stoupat po pořadí — u domény, která poštu odesílá, je každý stupeň slib, že ho vaše vlastní zprávy přežijí.
p=none— jen sledování. Reporty tečou, doručování je nedotčené. Správné místo, kde začít; špatné místo, kde zůstat.p=quarantine— selhávající pošta jde do spamu. Vratné, a první politika, která opravdu něco dělá.p=reject— selhávající pošta je odmítnuta u dveří. Cíl — jakmile reporty ukážou, že všichni vaši odesílatelé se ověřují.
Stoupání má vést evidence: přitvrzujete, když reporty ukazují vaši legitimní poštu zarovnanou, ne podle kalendáře. Tenhle úsudek — je tahle doména připravená na další krok — je přesně to, co automatizuje poradce připravenosti v Sojce.
Doména, která nic neposílá, tohle potřebuje víc, ne míň
Pokud vlastníte domény, které poštu nikdy neposílají — zaparkovaná jména, obranné registrace, starou značku — žebřík se hroutí: žádná vaše pošta k ochraně není, takže není co opatrně přelézat. Takové domény mohou a mají jít na p=reject okamžitě, se SPF záznamem, který neopravňuje nikoho. Přesné záznamy a zdůvodnění jsou v doprovodném průvodci: I doména, která neposílá žádnou poštu, potřebuje DMARC.
Kde začít
Zkontrolujte si doménu zdarma — přečte vaše zveřejněné záznamy a oznámkuje, co tam je. Pak zveřejněte DMARC s reportovací adresou a sledujte, co se vrátí: Sojka reporty přečte za vás, pojmenuje odesílatele a řekne, kdy je další krok politiky bezpečný.