XML, ZIP lub GZIP z adresu rua Twojego rekordu DMARC, do 1 MB.
Przykład to zmyślony raport dla example.com z adresami zarezerwowanymi do dokumentacji.
Jak działa analiza
Bez konta raport jest odczytywany w pamięci i nie jest zapisywany. Parsujemy XML (RFC 9990; starszy format z RFC 7489 też działa), grupujemy rekordy według adresu IP nadawcy i liczymy wiadomości, które przeszły DMARC dzięki zgodnemu SPF lub zgodnemu DKIM — tak, jak ocenił je odbiorca.
Źródło, które nie przechodzi DMARC, klasyfikujemy według tego, co jednak przeszło. Poprawny podpis DKIM innej domeny zwykle oznacza usługę, która podpisuje własną domeną; SPF przechodzący dla innej domeny oznacza usługę z własnym adresem dla odbić. Gdy nic nie przeszło, była to poczta podszywająca się pod domenę albo wysłana z serwera, którego nikt nie skonfigurował.
Usługę nazywamy tylko na podstawie zweryfikowanych danych: podpisu DKIM, który odbiorca uznał za poprawny, albo nazwy hosta, dla której odwrotny i zwykły DNS są zgodne (sprawdzamy 20 najbardziej aktywnych źródeł). W pozostałych przypadkach pokazujemy adres IP i domenę podpisu bez interpretacji.
Ograniczenia
- Jeden raport obejmuje jednego odbiorcę i zwykle jeden dzień. Decyzje o polityce opieraj na raportach z kilku tygodni i od kilku odbiorców.
- Odbiorcy raportują to, co widzieli; liczby różnią się między odbiorcami, a niektórzy w ogóle nie wysyłają raportów.
- Bez konta plik może mieć do 1 MB (5 MB XML) i 5000 rekordów. Po zalogowaniu można zapisywać raporty swoich potwierdzonych domen.
Najczęstsze pytania
Skąd wziąć raporty zbiorcze DMARC?
Dodaj do rekordu DMARC tag rua, na przykład rua=mailto:dmarc@twojadomena. Odbiorcy będą wtedy codziennie wysyłać na ten adres raport XML, zwykle spakowany ZIP-em lub GZIP-em.
Czy wgrywanie raportu jest bezpieczne?
Raporty zawierają adresy IP serwerów nadawczych, domeny i liczby wiadomości — bez treści wiadomości i bez adresów odbiorców. Bez konta plik jest analizowany w pamięci i odrzucany; nic z niego nie jest zapisywane ani logowane.
Dlaczego moja własna poczta nie przechodzi DMARC?
Najczęściej dlatego, że usługa wysyła w Twoim imieniu bez Twojej domeny w podpisie DKIM lub adresie dla odbić. Włącz w tej usłudze własny DKIM (i, jeśli usługa to oferuje, własny return-path).
Kiedy mogę przejść na p=quarantine lub p=reject?
Gdy raporty z kilku tygodni pokazują, że każde prawdziwe źródło przechodzi DMARC. Pozostałe nieuwierzytelnione źródła to wtedy próby podszywania się, które ostrzejsza polityka zatrzyma.