Sådan opsætter og behandler du DMARC-rapporter (avanceret)

Introduktion

I denne artikel gennemgår vi, hvordan du opsætter, modtager og behandler DMARC-rapporter for dit domæne. Rapporterne hjælper dig med at identificere, hvilke systemer der sender e-mails på vegne af dit domæne, og om de overholder din DMARC-politik.

Guiden er til dig, der allerede har en DMARC-record, eller som er ved at konfigurere DMARC og ønsker at arbejde mere avanceret med e-mailsikkerhed.

Hvis du er ny til DMARC, anbefaler vi, at du starter med Hvad er DMARC, og hvordan virker det?. Har du endnu ikke opsat en DMARC-record, kan du følge guiden Sådan sætter du DMARC op hos Curanet.

Forstå DMARC-rapporter

DMARC-rapporter er automatiske rapporter fra modtagende mailservere, eksempelvis Google og Microsoft. De giver dig et overblik over, hvilke servere der sender e-mails med dit domæne som afsender, og om e-mails består de nødvendige kontroller.

Rapporterne bruges blandt andet til at:

• Identificere legitime systemer, der sender e-mails fra dit domæne.
• Opdage fejl i opsætningen af SPF, DKIM og DMARC.
• Identificere muligt misbrug af dit domæne, eksempelvis spoofing.
• Vurdere, om du sikkert kan ændre din DMARC-politik fra p=none til p=quarantine eller p=reject.

Rapporterne indeholder statistik over e-mailtrafik, herunder afsender-IP-adresser og godkendelsesresultater. De indeholder ikke selve e-mailindholdet.

DMARC bygger på SPF og DKIM. En e-mail består DMARC, hvis mindst én af disse kontroller består og samtidig er korrekt knyttet til domænet i afsenderadressen. Dette kaldes alignment.

Sådan fungerer det i praksis

1. Det skal du bruge

Inden du begynder, skal du have følgende klar:

• Adgang til dit Curanet resellerpanel og DNS-administrationen for domænet.
• En eksisterende DMARC-record.
• En e-mailadresse til modtagelse af rapporterne, eksempelvis dmarc@eksempel.dk.
• Et overblik over systemer, der sender e-mails fra dit domæne, eksempelvis webshop, nyhedsbrev, CRM, booking- eller økonomisystemer.

Bemærk: Vi anbefaler, at du bruger en dedikeret e-mailadresse til DMARC-rapporterne frem for din personlige indbakke. Der kan komme mange automatiske rapporter med vedhæftede filer.

2. Opsæt DMARC-rapportering i DNS

Trin 1: Log ind på dit Curanet resellerpanel.

Trin 2: Scroll ned til Brugere, og tryk på Login. Åbn DNS-administrationen for det relevante domæne.

Trin 3: Find din eksisterende TXT-record med hostnavnet _dmarc, og vælg at redigere den.

Opret ikke en ekstra DMARC-record. Et domæne må kun have én gyldig DMARC-record på samme navn. Flere DMARC-records kan medføre, at DMARC-politikken ikke anvendes korrekt.

Trin 4: Tilføj rua-tagget til din eksisterende DMARC-record. Det fortæller modtagende mailservere, hvilken adresse rapporterne skal sendes til.

Eksempel med en overvågende DMARC-politik:

v=DMARC1; p=none; rua=mailto:dmarc@eksempel.dk;

Hvis du allerede anvender p=reject, skal du beholde denne indstilling og blot tilføje rapporteringsadressen:

v=DMARC1; p=reject; rua=mailto:dmarc@eksempel.dk;

Du kan også angive flere modtagere ved at adskille adresserne med komma:

v=DMARC1; p=none; rua=mailto:dmarc@eksempel.dk,mailto:it@eksempel.dk;

Trin 5: Hvis rapporterne skal sendes til en adresse på et andet domæne, kræver det normalt en særskilt DNS-godkendelse hos det modtagende domæne.

Eksempel: Hvis du opsætter DMARC for eksempel.dk, men rapporterne skal sendes til dmarc@rapporter.dk, skal følgende TXT-record oprettes i DNS-zonen for rapporter.dk:

• Hostnavn: eksempel.dk._report._dmarc.rapporter.dk
• Type: TXT
• Værdi: v=DMARC1

Denne godkendelse fortæller andre mailservere, at rapporter.dk accepterer DMARC-rapporter for eksempel.dk. Nogle rapporteringsleverandører håndterer denne godkendelse automatisk.

Hvis rapporterne sendes til en adresse på samme domæne, kan du springe dette trin over.

Trin 6: Kontrollér, at hostnavnet er _dmarc, at recordtypen er TXT, og at værdien er korrekt. Gem ændringerne, og tryk på Udgiv ændringer.

DNS-ændringer kan tage nogle timer om at slå igennem. De første rapporter modtages typisk inden for 24-48 timer, men tidspunktet afhænger af de mailservere, der sender rapporterne.

3. Sådan ser en DMARC-rapport ud

DMARC-rapporter sendes normalt som e-mails med en vedhæftet XML-fil, der ofte er komprimeret som en ZIP- eller GZ-fil.

Herunder ses et forenklet eksempel på indholdet i en DMARC-rapport:

<feedback>
  <report_metadata>
    <org_name>google.com</org_name>
    <date_range>
      <begin>1760486400</begin>
      <end>1760572799</end>
    </date_range>
  </report_metadata>

  <policy_published>
    <domain>eksempel.dk</domain>
    <p>none</p>
  </policy_published>

  <record>
    <row>
      <source_ip>203.0.113.25</source_ip>
      <count>142</count>
      <policy_evaluated>
        <disposition>none</disposition>
        <dkim>fail</dkim>
        <spf>pass</spf>
      </policy_evaluated>
    </row>

    <identifiers>
      <header_from>eksempel.dk</header_from>
    </identifiers>

    <auth_results>
      <dkim>
        <domain>nyhedssystem.example</domain>
        <result>pass</result>
      </dkim>
      <spf>
        <domain>eksempel.dk</domain>
        <result>pass</result>
      </spf>
    </auth_results>
  </record>
</feedback>

De vigtigste felter er:

• org_name og date_range: Hvem der har sendt rapporten, og hvilken periode den dækker.
• source_ip: IP-adressen på den server, der har sendt e-mail.
• count: Antallet af e-mails i den pågældende gruppe.
• policy_evaluated: Resultatet af SPF og DKIM i forhold til DMARC.
• disposition: Hvordan modtageren har behandlet e-mails i forhold til DMARC-politikken.
• auth_results: De tekniske SPF- og DKIM-resultater, herunder hvilke domæner der blev kontrolleret.

Vigtigt om alignment: I eksemplet består DKIM-kontrollen for nyhedssystem.example, men ikke i forhold til afsenderdomænet eksempel.dk. Derfor står DKIM som fail under policy_evaluated. SPF består derimod med korrekt domænetilknytning, og derfor består e-mailen samlet set DMARC.

4. Sådan behandler du rapporterne

Du kan gennemgå rapporterne manuelt ved at åbne XML-filerne i en teksteditor eller bruge et DMARC-analyseværktøj, der samler og visualiserer rapporterne.

Hvis du modtager mange rapporter, anbefales et analyseværktøj, da det gør det væsentligt lettere at finde fejl og mønstre.

Trin 1: Saml data. Lad rapporteringen køre i 2-4 uger, så du får et repræsentativt billede af din e-mailtrafik. Husk også systemer, der kun sender mails månedligt.

Trin 2: Gruppér afsenderne. Saml rapporterne efter IP-adresse og afsendersystem, så du kan se, hvilke systemer der sender e-mails på vegne af dit domæne.

Trin 3: Identificér kendte og ukendte systemer. Sammenhold rapporterne med din liste over eksempelvis webshop, nyhedsbrev, CRM og økonomisystemer.

Trin 4: Ret fejl hos kendte systemer. Hvis et legitimt system fejler DMARC, skal du kontrollere dets SPF- og DKIM-opsætning og sikre korrekt alignment. Se også Hvad er DMARC, og hvordan virker det?.

Trin 5: Undersøg ukendte afsendere. Undersøg IP-adresser, du ikke genkender. Det kan være et glemt system, en ekstern leverandør eller forsøg på at misbruge dit domæne. Ukendte IP-adresser med mange DMARC-fejl kan være tegn på spoofing, men er ikke i sig selv bevis.

Trin 6: Stram DMARC-politikken gradvist. Når du har kontrolleret, at legitime afsendersystemer fungerer korrekt, kan du overveje at ændre politikken fra p=none til p=quarantine og senere p=reject. Overvåg rapporterne efter hver ændring.

Trin 7: Fortsæt overvågningen. Behold rapporteringen, selvom du anvender p=reject. Nye afsendersystemer og ændringer hos leverandører kan påvirke en tidligere velfungerende opsætning.

5. Sådan tolker du resultaterne

6. Hvis du ikke modtager rapporter

Hvis rapporterne udebliver, kan du kontrollere følgende:

• Vent 24-48 timer efter ændringer i DNS. Rapporterne sendes normalt med faste intervaller.
• Kontrollér, at rua=mailto: er skrevet korrekt, og at der kun findes én DMARC-record.
• Hvis rapporterne sendes til et andet domæne, skal du kontrollere den nødvendige DNS-godkendelse.
• Kontrollér, at postkassen kan modtage mails og vedhæftede ZIP- og GZ-filer.
• Vær opmærksom på, at ikke alle modtagende mailservere sender DMARC-rapporter, og at rapporter kan udeblive ved meget lav mailtrafik.

Har du brug for hjælp?

Vi hjælper og vejleder gerne, hvis du er i tvivl om, hvordan du redigerer din DMARC-record hos Curanet, eller hvordan du kommer i gang med rapporteringen.

Selve analysen af rapporterne og opsætningen af SPF og DKIM hos eksterne afsendersystemer kan kræve hjælp fra den pågældende leverandør.

Værd at vide

• DMARC-rapporter indeholder statistik om afsendere og godkendelsesresultater, men ikke selve indholdet af e-mails.
• Du kan også anvende ruf til at anmode om detaljerede fejlrapporter. Funktionen understøttes kun af få modtagere, og rapporterne kan indeholde følsomme oplysninger. Vi anbefaler derfor ikke ruf som standard.
• DMARC-rapporter er et overvågningsværktøj. Rapporteringen beskytter ikke i sig selv mod misbrug, men hjælper dig med at vælge og vedligeholde den rette DMARC-politik.
• Hvis DNS for dit domæne administreres hos en anden udbyder end Curanet, skal ændringerne foretages hos denne udbyder.
• Der må kun være én DMARC-record for samme domænenavn.
• DMARC-rapportering er baseret på åbne tekniske standarder og kan anvendes uanset, hvilken mailudbyder du benytter.

Relaterede artikler

• Hvad er DMARC, og hvordan virker det?
• Information omkring vores standardopsætning af DMARC
• Sådan sætter du DMARC op hos Curanet
• RFC 7489 – DMARC (teknisk standard)
• Sikkerdigital – DMARC