Hvad er DMARC, og hvordan virker det?

Introduktion

DMARC er en DNS record, der bruges til at opsætte en politik for hvordan modtageren skal reagere på indgående mails for et domæne, om den skal afvise mails der ikke er SPF- eller DKIM-valideret eller ej.

Forstå DMARC

SPF og DKIM fungerer uafhængigt af hinanden, og DMARC kobler disse to sammen og angiver retningslinjer for hvordan modtager (og deres server) skal forholde sig til den fremsendte mail. Samtidigt kan DMARC benytte sig af rapporter, der sendes tilbage til dig på mail, så du kan tilpasse din DMARC-politik og overvåge om din opsætning af SPF og DKIM er korrekt. Det er ensbetydende med at DMARC skal opsættes individuelt som ønsket, og der kan derfor gives en anbefaling til opsætningen når du starter ud, da du selv skal tage stilling til hvornår du vil stramme reglerne i din DMARC-politik, efterhånden som du får feedback ind via rapporterne, hvis det er sat op. Bemærk at DMARC vil påvirke din afsendelse af mail for det domæne det bliver sat op på, så test lidt frem og tilbage de første par dage efter det er sat op.

Hvad er DMARC?

DMARC er en sikkerhedsregel, du kan sætte på dit domæne. Den fortæller modtagernes mailservere, hvad de skal gøre med e-mails, der udgiver sig for at komme fra dit domæne, men ikke består sikkerhedskontrollen. Du kan tænke på det som en instruks til postbudet om, hvad der skal ske med et brev, hvor afsenderen ikke kan bekræftes.

Når du opretter eller ændrer DMARC på dit domæne, skal du vælge, hvordan e-mails, der ikke består DMARC-kontrollen, skal behandles.

E-mærket og DMARC: E-mærket kræver, at DMARC-politikken sættes til quarantine eller reject. p=quarantine lader deltagende e-mailmodtagere vide, at du gerne vil have dem til at behandle e-mail der fejler DMARC-godkendelseskontrollen med ekstra forsigtighed, indbakken accepterer e-mails der overtræder DKIM- eller SPF-tjekket, men markerer dem som spam. p=reject sikrer at al ondsindet e-mail bliver stoppet når kriterierne for DKIM eller SPF ikke er mødt, modtageren bliver aldrig opmærksom på e-mailen, da den aldrig sendes til en spam- eller karantænemappe. Quarantine er den mest lempelige af de to politikker.

Dine opsætningsmuligheder

Høj beskyttelse (p=reject), vores standard

Med denne indstilling beder du modtagernes mailservere om at afvise e-mails, der ikke består DMARC-kontrollen.

Fordele:

• Stærkere beskyttelse mod falske e-mails sendt i dit domænes navn.
• Gør det sværere for uvedkommende at misbruge dit domæne til e-mailspoofing.

Vær opmærksom på:

• Hvis du bruger eksterne systemer til at sende e-mails fra dit domæne, skal disse være korrekt konfigureret.
• Hvis systemerne ikke er korrekt opsat, risikerer du, at legitime e-mails bliver afvist og derfor ikke når frem til modtageren.

Overvågning (p=none)

Med denne indstilling bliver e-mails ikke afvist på grund af DMARC, selvom de ikke består kontrollen.

Fordele:

• Mindre risiko for at påvirke eksisterende mailsystemer.
• God som startindstilling, hvis du er usikker på din mailopsætning.
• Mulighed for at overvåge fejl gennem DMARC-rapporter, hvis rapportering er opsat.

Vær opmærksom på:

• Denne indstilling beskytter ikke aktivt mod, at andre forsøger at sende falske e-mails fra dit domæne via DMARC-politikken.
• Overvågning giver kun værdi, hvis du følger op på rapporterne. Gør du ikke det, kan et grønt flueben i en test give en falsk tryghedsfølelse.
• Andre spam- og sikkerhedsfiltre kan stadig blokere e-mails.

Mellemvej (p=quarantine)

Med denne indstilling beder du modtagernes mailservere om at sortere e-mails, der ikke består DMARC-kontrollen, fra som mistænkelige, typisk i spam-mappen, i stedet for at afvise dem.

Fordele:

• Mere beskyttelse end p=none, men mere lempelig end p=reject.
• E-mails bliver ikke afvist, men havner i spam-mappen, hvor modtageren stadig kan finde dem.

Vær opmærksom på:

• Denne indstilling indgår ikke i valgboksen, men kan sættes manuelt.
• Hvis dine mailsystemer ikke er sat korrekt op, kan legitime e-mails havne i spam.

Sådan fungerer det i praksis

Eksempel 1: p=reject uden at tjekke mailsystemerne

Et firma har en webshop, et nyhedsbrevssystem og et bookingsystem, der alle sender e-mails med firmaets domæne som afsender. Firmaet beholder standarden p=reject uden at tjekke, om systemerne er sat korrekt op. Nyhedsbrevssystemet er ikke godkendt til at sende for domænet, og derfor bliver nyhedsbrevene afvist hos modtagerne. Firmaet opdager først problemet, da kunderne spørger, hvorfor de ikke har fået nyhedsbrevet.

Eksempel 2: p=none uden opfølgning

Et andet firma vælger p=none for at være på den sikre side. Der bliver ikke afvist nogen mails, men firmaet følger heller ikke op på rapporterne. Domænet kan derfor stadig misbruges til falske e-mails, selvom en test viser et grønt flueben.

Eksempel 3: Overvågning først, derefter reject

Et tredje firma vælger p=none, gennemgår sine mailsystemer, retter opsætningen og sender testmails fra hvert system. Når alt når frem, skifter firmaet til p=reject og får den høje beskyttelse uden at miste egne e-mails.

Eksempel 4: p=quarantine som mellemvej

Et fjerde firma vil gerne have mere beskyttelse end p=none, men tør ikke afvise mails og vælger derfor p=quarantine. Firmaets bookingsystem er ikke sat korrekt op, så bookingbekræftelserne bliver ikke afvist, men havner i spam hos modtagerne. Firmaet får ingen fejlbesked, og problemet opdages først, da kunderne spørger, hvorfor de ikke har fået deres bekræftelse.

Opsætning for eksterne systemer

Eksterne systemer kan for eksempel være:

• Webshops, der sender ordrebekræftelser.
• Nyhedsbrevssystemer.
• CRM- og bookingsystemer.
• Faktura- og økonomisystemer.
• Andre eksterne e-mailudbydere.

• Eksempel med domænet curanet.dk: Et nyhedsbrevssystem skal sende nyhedsbreve fra adressen nyhedsbrev@curanet.dk. Værdierne herunder er kun eksempler. Dine egne får du fra systemets vejledning.
• SPF: Nyhedsbrevssystemet oplyser, hvad der skal tilføjes til domænets SPF-record. Det tilføjes i den eksisterende record, så der kun er én SPF-record på domænet. Den kan for eksempel se sådan ud: v=spf1 include:spf.mailudbyder.example include:spf.nyhedssystem.example ~all
• DKIM: Systemet giver dig en DNS-post, som du sætter ind på domænet, så systemet kan signere dine mails med dit eget domæne. Typen er enten CNAME eller TXT, afhængigt af systemet. Den kan for eksempel se sådan ud: navn nyhed._domainkey.curanet.dk, type CNAME og værdi dkim.nyhedssystem.example.
• Det vigtigste: Systemet skal sende eller signere med dit eget domæne (her curanet.dk) og ikke med leverandørens. Ellers kan en mail godt vise "bestået" i systemet, men alligevel blive afvist af DMARC.
• Kontrol: Send en testmail fra systemet til en Gmail-adresse. Åbn mailen, klik på de tre prikker og vælg Vis original (Show original på engelsk). Øverst kan du se, om SPF, DKIM og DMARC består. DMARC skal stå som PASS for dit eget domæne (her curanet.dk). Bliver mailen afvist, eller står DMARC som FAIL, er systemet ikke sat korrekt op.

Værd at vide

• Du kan læse mere om DMARC hos Sikker Digital: sikkerdigital.dk/myndighed/tekniske-tiltag/dmarc
• Andre spam- og sikkerhedsfiltre kan blokere e-mails, uanset hvilken DMARC-indstilling du vælger.
• DMARC er en åben standard og ikke et produkt fra en bestemt leverandør. Du kan læse standarden under Relaterede artikler.

Relaterede artikler

• Information omkring vores standardopsætning af DMARC
• sikkerdigital.dk/myndighed/tekniske-tiltag/dmarc
• Sådan sætter du DMARC op hos Curanet
• Sådan opsætter og behandler du DMARC-rapporter (avanceret)