DMARC uvođenje: od none do reject

Modul 4: Dostavljivost: SPF, DKIM i DMARC u praksi · Vrijeme čitanja: 12 minuta

Cilj učenja: Nakon ove lekcije moći ćete objasniti kako funkcionira usklađivanje (alignment), isplanirati uvođenje DMARC-a u fazama od p=none do p=reject, odabrati odgovarajuće oznake (rua, sp, np, t) i prepoznati poznate zamke kod preusmjeravanja i mailing lista.

Ključni pojmovi: DMARC (RFC 9989), Author Domain (domena u polju Od), usklađivanje (alignment), relaxed i strict (adkim, aspf), organizacijska domena, DNS tree walk, p=none, p=quarantine, p=reject, rua, sp, np, t=y (testni način), zastarjele oznake pct, rf, ri, mailing liste, prepisivanje polja From, ARC

Što DMARC točno provjerava

DMARC za svaku dolaznu poruku odgovara na jedno pitanje: je li SPF ili DKIM uspješno prošao za domenu koja pripada adresi u polju Od? Domena u polju Od u standardu se naziva Author Domain. Osnove zapisa opisane su u DNS tečaju, lekcija 4.5. U svibnju 2026. objavljen je revidirani standard: RFC 9989, s RFC 9990 za zbirna izvješća i RFC 9991 za izvješća o greškama. Postojeći zapisi s v=DMARC1 ostaju i dalje valjani.

Usklađivanje u praksi

"Pripada" se naziva usklađivanje (alignment). Postoje dvije postavke:

• relaxed (zadano): domene imaju istu organizacijsku domenu. nieuws.example.com i example.com su usklađeni; example.com i example.net nisu.
• strict (adkim=s ili aspf=s): domene moraju biti potpuno identične.

Za SPF, DMARC uspoređuje domenu Return-Path adrese s domenom u polju Od. Za DKIM uspoređuje domenu d= valjanog potpisa. Nekoliko primjera za poruku s Od: info@example.com:

Stoga ostavite adkim i aspf na relaxed, osim ako imate dobar razlog za drugačije.

Kako primatelj zna koja je organizacijska domena? Prije se to radilo pomoću Public Suffix liste, popisa domena poput .nl, .co.uk i github.io. RFC 9989 to zamjenjuje s DNS tree walk postupkom: primatelj traži _dmarc zapise domene i svih nadređenih domena. Za običnog korisnika ništa se ne mijenja; to primjećujete samo ako radite sa zapisima na poddomenama.

Uvođenje u četiri faze

Cilj je p=reject: tada primatelji odbijaju poštu koja se lažno predstavlja kao Vaša, a to je najbolja zaštita protiv lažnih računa i phishinga u Vaše ime. No tko odmah prijeđe na reject bez poznavanja svojih pošiljatelja, uskoro će odbijati vlastite račune. Zato ovaj redoslijed (preporučeni slijed ovog tečaja):

Faza 0: priprema

• Napravite popis svih svojih pošiljatelja (lekcija 4.2).
• Pobrinite se da svaki pošiljatelj ima usklađen SPF ili DKIM; po mogućnosti DKIM, jer on preživljava preusmjeravanje.
• Napravite zasebnu adresu za izvješća, na primjer dmarc@example.com, ili koristite uslugu za izvješća. Vrlo brzo ćete dobivati nekoliko izvješća dnevno.

Faza 1: mjerenje s p=none

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

p=none ne radi ništa s porukom. Primatelji dostavljaju sve kao i inače, ali Vam svakodnevno šalju zbirno izvješće (aggregate report) sa svakim poslužiteljem koji je slao poštu u ime Vaše domene te je li SPF, DKIM i DMARC prošao. Time ujedno ispunjavate minimalni zahtjev Gmaila, Yahooa i Microsofta za masovne pošiljatelje (lekcija 5.3).

Ostavite ovo barem dva do četiri tjedna, a dulje ako imate usluge koje šalju poštu samo povremeno (godišnji podsjetnik, tromjesečni račun). Pročitajte izvješća (lekcija 4.5) i popravite svaki vlastiti izvor koji ne prolazi.

Faza 2: p=quarantine

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

Pošta koja ne prođe DMARC kod primatelja ide u mapu neželjene pošte. Ako ipak zaboravite neki izvor, ta poruka nije izgubljena, ali ju je teško pronaći. Želite li biti oprezni, prvo dodajte t=y (testni način): primatelji tada primjenjuju jedan stupanj blaži pravilnik (kod quarantine to je none), ali u izvješćima vidite što bi se dogodilo. Ovo je u RFC 9989 zamjena za staru oznaku pct=.

Ponovno pratite izvješća nekoliko tjedana.

Faza 3: p=reject

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@example.com"

Pošta koja ne prođe DMARC biva odbijena. Pošiljatelj dobiva povratnu poruku (bounce), kod Microsofta na primjer s kodom 5.7.509, a kod Gmaila s upućivanjem na DMARC pravilnik (modul 6). Nastavite pratiti izvješća: uvijek se pojavljuju nove usluge.

Kada smije ići brže?

Ide li sva Vaša pošta preko jednog pružatelja usluga koji za Vas rješava SPF i DKIM, a ništa drugo se ne šalje u ime Vaše domene? Tada strogi pravilnik može odmah biti postavljen. Neki pružatelji hostinga zato zadano postavljaju p=reject. Ako kasnije ipak počnete koristiti uslugu newslettera ili računovodstveni program, privremeno vratite na p=none s adresom za izvješća, dok ta usluga ne proradi ispravno.

Ostale oznake

Adresa za izvješća na drugoj domeni (na primjer usluga za izvješća) radi samo ako ta domena da dopuštenje zapisom poput example.com._report._dmarc.rapportdienst.example. Uslugu to obično sama uredi (RFC 9990, poglavlje 4).

Zamke

Mailing liste

Klasična mailing lista prosljeđuje Vašu poštu svim članovima, sa svog vlastitog poslužitelja, i često dodaje [lista] u predmet ili podnožje. Tada SPF ne prolazi (drugi poslužitelj) i DKIM ne prolazi (poruka je promijenjena). S p=reject primatelji odbijaju Vašu poruku upućenu listi. Moderan softver za liste to rješava prepisivanjem adrese u polju Od u adresu liste ("Jan via Leden"), ili prosljeđivanjem poruke bez izmjena. Koristite li listu koja to ne čini, vidjet ćete to u svojim izvješćima.

Preusmjeravanje

Pogledajte lekciju 3.3: SPF se prekida, DKIM obično preživljava. Primatelj može pomoću ARC-a odlučiti vjerovati poznatom pošiljatelju koji preusmjerava. U izvješćima to prepoznajete kao poštu s nepoznatog poslužitelja s DKIM pass i SPF fail; to nije razlog za ublažavanje Vašeg pravilnika.

Dva zapisa ili tipfeler

Dva DMARC zapisa na _dmarc čine pravilnik nevažećim, a to čini i tipfeler u p= (p=rejected ne postoji). Provjerite nakon svake izmjene.

U praksi: kako to izgleda u panelu

Kod hosting paketa WebOké zadano je postavljeno v=DMARC1;p=reject, bez adrese za izvješća. To je sigurno ako sva Vaša pošta prolazi kroz te poslužitelje. Šaljete li poštu i preko drugih usluga, postavite p=none s adresom rua i prođite kroz faze. U DirectAdmin to radite u DNS Administration putem olovke iza _dmarc zapisa (polja Domain policy type i Aggregate Email (RUA)); u Moj WebOké putem DMARC pomoćnika na kartici DNS. Kod drugih pružatelja usluga sami izrađujete TXT zapis na nazivu _dmarc i sami upisujete tekst; rezultat je isti.

Sažetak

• DMARC uspijeva kada SPF ili DKIM uspije za domenu koja je usklađena s domenom u polju Od; relaxed usklađivanje prihvaća poddomene.
• Uvođenje: popis pošiljatelja, p=none s rua i čitanje izvješća, p=quarantine (po potrebi s t=y), pa onda p=reject.
• Koristite np=reject za nepostojeće poddomene čim je glavni pravilnik strog. pct, rf i ri su zastarjeli.
• Mailing liste i preusmjeravanje daju očekivane greške; DKIM i ARC dio toga ublažavaju.
• Točno jedan zapis na _dmarc, bez tipfelera.

Kviz

Zadatak

Zadatak Z4.4: Provjera DMARC-a Vaše domene i odabir sljedećeg koraka. Upišite vlastitu domenu (ili internet.nl). Upišite DMARC zapis onako kako ste ga pronašli, vrijednost p= i je li u njemu navedena adresa rua. Zatim odaberite koju fazu uvođenja smatrate sljedećim korakom, i zašto. Program uživo dohvaća zapis, provjerava sintaksu prema RFC 9989 (jedan zapis, valjani p, poznate oznake, zastarjele oznake kao upozorenje) i uspoređuje Vaše odgovore s tim.

Dodatno štivo

Koraci u ovim člancima vrijede za panele WebOké; kod drugih pružatelja usluga postupak je sličan.

• Besplatni DNS tečaj 4.5: DMARC: što primatelji trebaju raditi s lažnom poštom
• DirectAdmin priručnik 5.9: DMARC postavljanje
• Što je DMARC? Objašnjenje jednostavnim jezikom
• Izrada DMARC zapisa u DirectAdminu
• RFC 9989 (DMARC), posebno poglavlje 4.7 (oznake) i dodatak C (izmjene od RFC 7489)