Jak działa to sprawdzenie
Odczytujemy rekord TXT pod _dmarc.<domena>. Jeśli domena nie ma własnego rekordu, przechodzimy w górę drzewa DNS zgodnie z RFC 9989 (opublikowanym w maju 2026), który zastąpił RFC 7489 i jego zależność od Public Suffix List.
Obowiązujący rekord analizujemy tag po tagu. Wyjaśniamy politykę dla samej domeny (p), istniejących subdomen (sp) i nieistniejących subdomen (np), a także wskazujemy tagi usunięte w RFC 9989 (pct, rf, ri), które wciąż działają u odbiorców stosujących starszą specyfikację.
Dla każdego adresu raportów spoza Twojej domeny organizacyjnej sprawdzamy rekord autoryzacji (<twoja-domena>._report._dmarc.<domena-raportów>). Bez niego odbiorcom nie wolno tam wysyłać raportów.
Ograniczenia
- Sam rekord DMARC nie chroni domeny. Działa tylko wtedy, gdy prawdziwa poczta przechodzi SPF lub DKIM z domeną zgodną z adresem From — sprawdź także te rekordy.
- Nie wiemy, którzy odbiorcy stosują już RFC 9989, a którzy RFC 7489; tam, gdzie standardy się różnią, mówimy o tym.
- Sprawdzane domeny nie są zapisywane ani logowane.
Najczęstsze pytania
Od jakiej polityki zacząć?
Zacznij od p=none z adresem rua, aby otrzymywać raporty zbiorcze. Na ich podstawie znajdź wszystkie usługi wysyłające pocztę w imieniu Twojej domeny i spraw, by przechodziły SPF lub DKIM ze zgodną domeną. Potem przejdź na p=quarantine, a na końcu na p=reject.
Co zmieniło RFC 9989?
DMARC stał się standardem (Standards Track). Wyszukiwanie polityki korzysta z „DNS Tree Walk” zamiast Public Suffix List, dodano tagi np (polityka dla nieistniejących subdomen) i psd, a usunięto pct, rf i ri. Flaga testowa t=y zastępuje popularną praktykę pct=0. Istniejące rekordy v=DMARC1 pozostają ważne.
Czy naprawdę potrzebuję adresu rua?
Bez rua odbiorcy nie wysyłają raportów zbiorczych, więc nie widzisz, kto wysyła pocztę z Twojej domeny ani które z prawidłowych źródeł poczty nie przechodzą weryfikacji. Przejście na politykę wymuszającą staje się wtedy zgadywaniem.
Czy sam rekord DMARC chroni domenę przed podszywaniem?
Tylko przy p=quarantine lub p=reject i tylko wtedy, gdy odbiorcy potrafią uwierzytelnić Twoją prawdziwą pocztę. Przy p=none wiadomości, które nie przejdą weryfikacji, są dostarczane normalnie — rekord służy do monitorowania.
Czym jest zgodność domen (alignment)?
DMARC przechodzi, gdy SPF lub DKIM przejdzie dla domeny pasującej do adresu From. W trybie swobodnym (domyślnym) muszą się zgadzać domeny organizacyjne, więc mail.example.com jest zgodna z example.com. W trybie ścisłym (adkim=s, aspf=s) domeny muszą być identyczne.