DMARC: säg åt mottagaren vad som ska hända med förfalskad e-post

SPF och DKIM svarar båda på samma fråga: är det här mejlet äkta? Ingen av dem säger åt mottagarens server vad den ska göra om svaret är nej. Det beslutet tar varje mottagande system på egen hand, olika från fall till fall. DMARC är regelverket för vad som skall hända.

Vad DMARC faktiskt gör

DMARC (Domain-based Message Authentication, Reporting and Conformance) är en DNS-post som knyter ihop SPF och DKIM och lägger till en instruktion: godkänn, skicka till skräppost, eller neka helt. Den kräver dessutom att domänen i avsändarfältet mottagaren ser faktiskt stämmer med den domän SPF eller DKIM godkände, så kallad alignment. Utan det kan ett mejl klara SPF på en helt annan domän än den avsändaren visar upp.

Förutsättning: SPF och DKIM måste vara på plats innan DMARC gör någon nytta. DMARC har inget att knyta ihop annars.

Så ser en post ut

v=DMARC1; p=none; rua=mailto:[email protected]; pct=100

p= är policyn: none (bara övervaka), quarantine (till skräppost) eller reject (neka helt).
rua= är adressen dit mottagande servrar skickar sammanfattade rapporter om vad som passerat och vad som fallit.
pct= styr hur stor andel av mejlen policyn tillämpas på, 100 betyder alla.

Så lägger ni till den utan att stänga ute egen e-post

Skapa en TXT-post på _dmarc.ertforetag.se med p=none och en rua-adress ni faktiskt läser.
Låt den ligga några veckor. Rapporterna visar vilka avsändare, interna system, nyhetsbrev, fakturaverktyg, som fortfarande missar SPF eller DKIM.
Åtgärda dem, inte DMARC-posten.
Höj policyn stegvis: none → quarantine → reject. Att hoppa direkt till reject utan att ha läst en enda rapport är det vanligaste sättet att av misstag blockera sin egen e-post.

Först när SPF, DKIM och DMARC är på plats, i den ordningen, är domänen faktiskt skyddad mot att någon skickar förfalskad e-post i ert namn.