Självstudier: Rekommenderad DMARC-lansering

DMARC (Domain-based Message Authentication, Reporting and Conformance) är utformat för att gradvis lanseras. Börja med en ingen-policy som enbart övervakar e-postflödet och övergå sedan till en policy som avvisar alla oautentiserade meddelanden.

Med en ingen-policy kan du börja få rapporter utan att riskera att dina meddelanden avvisas eller skickas till skräpposten av mottagande servrar. Du kan även ställa in DMARC-policyn så att den enbart gäller en procentandel av meddelandena som skickas från din organisation. Med dessa två funktioner kan du implementera DMARC gradvis och samtidigt ha kontroll över e-postflödet.

Viktigt! Konfigurera DKIM (DomainKeys Identified Mail) och SPF (Sender Policy Framework) innan du konfigurerar DMARC. DKIM och SPF ska autentisera meddelanden i minst 48 timmar innan de aktiverar DMARC. Detaljerade steg för konfiguration av SPF och DKIM finns i Bidra till att förhindra identitetsförfalskning, nätfiske och skräppost.

1. Börja med en DMARC-policy som inte är så strikt

Börja med en DMARC-post med tillämpning inställd på none och en e-postadress som har konfigurerats för dagliga DMARC-rapporter. Då kan du börja få rapporter utan att riskera att meddelanden från din domän avvisas eller markeras som skräppost av mottagande servrar. Vi rekommenderar att du använder den här posten i minst en vecka. En vecka är oftast tillräckligt länge för att de dagliga rapporterna ska innehålla data är representativ för alla dina e-postflöden.

Kontrollera dina dagliga DMARC-rapporter och verifiera att meddelanden från din domän skickas av kända auktoriserade servrar och godkänns i autentiseringskontroller.

Vi rekommenderar att du börjar med en DMARC-policy som inte är för begränsande eller enbart gäller en liten del av din e-posttrafik, till exempel:

1. Logga in på domänvärden och uppdatera DMARC DNS TXT-posten hos domänleverantören.
2. Ange en policy som gäller 100 % av alla meddelanden men har tillämpning inställd på none:

   v=DMARC1; p=none; rua=mailto:[e-mail]

Policyn tillämpas på 100 % av alla meddelanden som tas emot av e-postservrar. Tillämpningen är dock inställd på none så att meddelanden levereras normalt, även när de inte godkänns i DMARC-autentisering. Alla e-postservrar som får e-post från din domän skickar dagliga rapporter till [e-mail].

2. Granska DMARC-rapporter

Granska de rapporter du får varje dag och ta reda på:

• vilka servrar eller avsändare från tredje part som skickar e-post för din domän
• hur stor andel av meddelandena från domänen som godkänns i DMARC
• vilka servrar eller tjänster som skickar meddelanden som inte fungerar i DMARC. 

Sök efter problemtrender som:

• om mottagarna får giltiga meddelanden från dig, men de finns i skräppostmappen
• om du får avvisnings- eller felmeddelanden från mottagare.

Om du vill åtgärda problem med att meddelanden från din domän avvisas eller skickas till skräpposten läser du Felsöka DMARC-problem.

Fortsätt att få dagliga rapporter genom att verifiera att den uppdaterade posten fortfarande innehåller rua-taggen med din e-postadress eller postlådeadress. Vi rekommenderar att du stannar i den här fasen i minst sju dagar innan du går vidare till nästa fas. Hur länge du bör stanna varierar beroende på organisationens storlek och e-postflöde. 

Läs mer om att läsa DMARC-rapporterna. 

3. Placera ett fåtal meddelanden i karantän

När du har kontrollerat DMARC-rapporter i minst en vecka utan negativa resultat uppdaterar du policyn till quarantine och lägger till pct-taggen för att tillämpa policyn på en liten procentandel av din e-post. Exempel:

1. Logga in på domänvärden och uppdatera DMARC DNS TXT-posten hos domänleverantören.
2. Lägg till en policy som gäller 5 % av alla meddelanden och har tillämpningen inställd på quarantine. Meddelanden i de 5 % som inte godkänns i DMARC skickas till mottagarnas skräppostmapp:

   v=DMARC1; p=quarantine; pct=5; rua=mailto:[e-mail]

Policyn tillämpas enbart på 5 % av meddelanden som tas emot av e-postservrarna. Meddelanden som inte godkänns i DMARC levereras till mottagarnas skräppostmapp. Enbart en liten andel av meddelandena berörs och mottagarna kan granska meddelanden som skickas till skräpposten. Varje e-postserver som får e-post från din domän skickar dagliga rapporter till [e-mail].

Små organisationer kan ha god förståelse för alla e-postflöden och kan tillämpa policyn på en större procentandel av meddelandena än stora organisationer. Stora organisationer har ofta flera e-postflöden som kan omfatta äldre servrar och avsändare från tredje part.

 Vi rekommenderar att stora organisationer gradvis ökar andelen meddelanden som berörs för att minska risken för att många meddelanden avvisas eller markeras som skräppost. En liten organisation kan börja med 10 % i karantän och ett mycket stort företag kan börja med 1 %.

4: Avvisa alla oautentiserade meddelanden

Det här är det sista steget i implementeringen av DMARC. När du är säker på att de flesta eller alla meddelanden som skickas från din domän har anpassats och godkänns i autentiseringen (SPF och DKIM), kan du tillämpa en striktare DMARC-policy.

Om DMARC fungerar som väntat uppdaterar du policyn så att DMARC-postpolicyn är inställd på att avvisa 100 % av alla meddelanden som skickas från organisationen. Exempel:

1. Logga in på domänvärden och uppdatera DMARC DNS TXT-posten hos domänleverantören.
2. Uppdatera posten så att den blir striktare. Exempel:

   v=DMARC1; p=reject; rua=mailto:[e-mail],[e-mail]

Policyn tillämpas på alla meddelanden som tas emot av e-postservrar. Om posten inte innehåller pct-taggen tillämpas policyn på 100 % av alla meddelanden som skickas från din domän. Alla meddelanden som inte godkänns i DMARC-autentiseringen avvisas. Avsändaren kan få ett studsmeddelande för varje avvisat meddelande. Varje e-postserver som får e-post från din domän skickar dagliga rapporter till två e-postadresser: [e-mail] och [e-mail].