Womit fange ich an, none oder reject?

Mit p=none und einer Berichtsadresse. Diese Stufe ändert an der Zustellung nichts, sorgt aber dafür, dass Sie Sammelberichte bekommen und sehen, welche Systeme in Ihrem Namen senden. Fast immer sind darunter Dienste, an die niemand mehr gedacht hat. Erst wenn die alle über SPF oder DKIM sauber laufen, gehen Sie auf quarantine und danach auf reject. Der Weg dauert Wochen, nicht Minuten.

Wo genau trage ich den Record ein?

Als TXT-Eintrag auf _dmarc.ihre-domain.de. Bei den meisten Anbietern geben Sie als Namen nur _dmarc ein, weil die Domain automatisch angehängt wird; der Generator zeigt zur Sicherheit den vollständigen Namen an. Auf der Domain selbst steht der Record falsch und wird nie gefunden.

Brauche ich SPF und DKIM, damit DMARC etwas bringt?

Ja. DMARC prüft nichts Eigenes, sondern wertet die Ergebnisse von SPF und DKIM aus und verlangt zusätzlich, dass die dabei geprüfte Domain zur sichtbaren Absenderadresse passt. Ohne mindestens eines der beiden Verfahren besteht keine Nachricht die Prüfung, und eine durchgesetzte Policy würde Ihre eigene Mail treffen.

Was ist der Unterschied zwischen lockerer und strenger Ausrichtung?

Locker (der Standard) lässt es genügen, wenn die geprüfte Domain und die Absenderdomain dieselbe Hauptdomain haben, Unterdomains sind also erlaubt. Streng verlangt exakte Übereinstimmung. Streng klingt besser, sperrt aber alle Systeme aus, die aus einer Unterdomain senden, und das sind oft mehr als gedacht.

Wohin sollen die Berichte gehen?

An ein Postfach, das die Menge verträgt und regelmäßig gelesen oder automatisch ausgewertet wird. Die Sammelberichte kommen täglich von jedem größeren Empfänger und sind XML in ZIP-Archiven, für das Lesen von Hand also wenig geeignet. Liegt die Adresse in einer anderen Domain, braucht es dort einen zusätzlichen Eintrag, der die Annahme erlaubt; der Generator nennt ihn.

Wozu dient der Prozentsatz?

Er wendet die Policy nur auf einen Teil der Nachrichten an und ist als Übergang gedacht: mit quarantine bei 25 Prozent sehen Sie die Wirkung, ohne gleich allen Verkehr zu betreffen. Bei p=none bewirkt der Prozentsatz nichts, weil es nichts anzuwenden gibt. Am Ziel steht 100 Prozent.

Ändert der Generator etwas an meinem DNS?

Nein. Er erzeugt nur einen Text, den Sie kopieren und selbst bei Ihrem DNS-Anbieter eintragen. Er fragt dafür auch nichts im DNS ab, sondern rechnet ausschließlich aus Ihren Angaben.

DMARC Generator

DMARC-Record zusammenstellen, mit Klartext dazu, was die Stufe bewirkt.

Domain

Was soll mit unechter Mail geschehen?

Adresse für die Berichte

Unterdomains

Ausrichtung SPF

Ausrichtung DKIM

Für wie viele Nachrichten gilt die Policy?

Ein DMARC-Record sagt empfangenden Servern, was mit Nachrichten geschehen soll, die vorgeben, von Ihrer Domain zu kommen, die Prüfung durch SPF und DKIM aber nicht bestehen. Er ist ein einzelner TXT-Eintrag, und er ist der einzige Teil der drei Verfahren, bei dem Sie eine Entscheidung treffen: beobachten, in den Spam-Ordner, oder gar nicht erst annehmen. Dieser Generator stellt den Eintrag aus geführter Eingabe zusammen und sagt Ihnen dabei, was die gewählte Stufe tatsächlich bewirkt.

Was der Generator macht

Sie wählen die Policy, tragen eine Adresse für die Berichte ein und entscheiden bei Bedarf über Unterdomains und Ausrichtung. Alles Weitere setzt der Generator: er schreibt v=DMARC1 an den Anfang, stellt p direkt dahinter, ergänzt bei der Berichtsadresse das fehlende mailto: und lässt alles weg, was ohnehin dem Standard entspricht. Ein kurzer Record, in dem jeder Eintrag etwas bedeutet, ist leichter zu lesen als einer voller Selbstverständlichkeiten.

Wichtig ist vor allem der Name des Eintrags. Ein DMARC-Record steht nicht auf der Domain selbst, sondern auf _dmarc. davor. Ein richtiger Record unter falschem Namen ist der häufigste Einrichtungsfehler überhaupt, und er fällt nicht auf: es kommt einfach nie ein Bericht. Der Generator zeigt den vollständigen Namen deshalb direkt neben dem Wert an.

Das Ergebnis lesen

Unter dem Record stehen die Hinweise. Sie bewerten nicht Sie, sondern den Eintrag: p=none setzt nichts durch und ist ausdrücklich nur die Beobachtungsstufe, p=quarantine ist der Zwischenschritt, p=reject die höchste Stufe. Fehlt eine Berichtsadresse, sagt der Generator das deutlich, denn ein Eintrag mit p=none und ohne rua tut buchstäblich nichts: er setzt nichts durch und liefert auch keine Erkenntnisse.

Ein Hinweis erscheint außerdem, wenn die Berichtsadresse in einer anderen Domain liegt als der, für die der Record gilt. Dann muss die Empfängerdomain die Annahme ausdrücklich erlauben, sonst verschickt kein seriöser Auswerter die Berichte. Der Generator nennt den dafür nötigen Eintrag mit vollem Namen.

Hintergrund: was der RFC verlangt

Maßgeblich ist RFC 7489. Er verlangt, dass der Record mit v=DMARC1 beginnt und dass p direkt folgt; die Tags werden durch Semikolon getrennt. Der Versions-Tag wird dabei genau so geschrieben, in Grossbuchstaben: ein v=dmarc1 wird von echten Prüfern vollständig ignoriert, und der Record wirkt, als gäbe es ihn nicht.

DMARC greift nur, wenn SPF oder DKIM bestehen und die dabei geprüfte Domain zur Absenderadresse passt. Diese Ausrichtung lässt sich locker oder streng verlangen; locker ist der Standard und erlaubt Unterdomains, streng verlangt exakte Übereinstimmung. Wer hier ohne Not streng stellt, sperrt schnell eigene Systeme aus, die aus einer Unterdomain senden.

Zwei Dinge bietet der Generator bewusst nicht an. ruf fordert forensische Berichte an, die Teile fremder Nachrichten enthalten; kaum ein Empfänger verschickt sie noch, und wer sie anfordert, sammelt personenbezogene Daten Dritter. Und ri, das Intervall der Berichte, steht mit 24 Stunden praktisch immer richtig.

Häufige Fehlerbilder

Der Record steht auf der Domain statt auf _dmarc. Er wird dann nie gefunden, und es passiert schlicht nichts.
p=none für immer. Die Beobachtungsstufe ist als Anfang gedacht, nicht als Zustand. Ohne den Schritt zu quarantine und reject schützt DMARC die Domain nicht.
Zu früh abweisen. Das Gegenteil: wer p=reject setzt, bevor alle eigenen Absender über SPF oder DKIM sauber laufen, verliert legitime Mail, oft ausgerechnet Rechnungen und Systemmeldungen.
Berichtsadresse in fremder Domain ohne deren Zustimmung. Sieht richtig aus, liefert aber nie Berichte.
Mehrere DMARC-Records. Wie bei SPF gilt dann keiner von beiden.

Wenn der Eintrag im DNS steht, prüfen Sie ihn mit dem DMARC Analyzer: der liest den veröffentlichten Record, bewertet die Policy und nennt jeden Syntaxfehler.

Häufige Fragen

Womit fange ich an, none oder reject?: Mit p=none und einer Berichtsadresse. Diese Stufe ändert an der Zustellung nichts, sorgt aber dafür, dass Sie Sammelberichte bekommen und sehen, welche Systeme in Ihrem Namen senden. Fast immer sind darunter Dienste, an die niemand mehr gedacht hat. Erst wenn die alle über SPF oder DKIM sauber laufen, gehen Sie auf quarantine und danach auf reject. Der Weg dauert Wochen, nicht Minuten.
Wo genau trage ich den Record ein?: Als TXT-Eintrag auf _dmarc.ihre-domain.de. Bei den meisten Anbietern geben Sie als Namen nur _dmarc ein, weil die Domain automatisch angehängt wird; der Generator zeigt zur Sicherheit den vollständigen Namen an. Auf der Domain selbst steht der Record falsch und wird nie gefunden.
Brauche ich SPF und DKIM, damit DMARC etwas bringt?: Ja. DMARC prüft nichts Eigenes, sondern wertet die Ergebnisse von SPF und DKIM aus und verlangt zusätzlich, dass die dabei geprüfte Domain zur sichtbaren Absenderadresse passt. Ohne mindestens eines der beiden Verfahren besteht keine Nachricht die Prüfung, und eine durchgesetzte Policy würde Ihre eigene Mail treffen.
Was ist der Unterschied zwischen lockerer und strenger Ausrichtung?: Locker (der Standard) lässt es genügen, wenn die geprüfte Domain und die Absenderdomain dieselbe Hauptdomain haben, Unterdomains sind also erlaubt. Streng verlangt exakte Übereinstimmung. Streng klingt besser, sperrt aber alle Systeme aus, die aus einer Unterdomain senden, und das sind oft mehr als gedacht.
Wohin sollen die Berichte gehen?: An ein Postfach, das die Menge verträgt und regelmäßig gelesen oder automatisch ausgewertet wird. Die Sammelberichte kommen täglich von jedem größeren Empfänger und sind XML in ZIP-Archiven, für das Lesen von Hand also wenig geeignet. Liegt die Adresse in einer anderen Domain, braucht es dort einen zusätzlichen Eintrag, der die Annahme erlaubt; der Generator nennt ihn.
Wozu dient der Prozentsatz?: Er wendet die Policy nur auf einen Teil der Nachrichten an und ist als Übergang gedacht: mit quarantine bei 25 Prozent sehen Sie die Wirkung, ohne gleich allen Verkehr zu betreffen. Bei p=none bewirkt der Prozentsatz nichts, weil es nichts anzuwenden gibt. Am Ziel steht 100 Prozent.
Ändert der Generator etwas an meinem DNS?: Nein. Er erzeugt nur einen Text, den Sie kopieren und selbst bei Ihrem DNS-Anbieter eintragen. Er fragt dafür auch nichts im DNS ab, sondern rechnet ausschließlich aus Ihren Angaben.