Rekord DMARC

Rekord DMARC to parametr monitoringu stron internetowych, który sprawdza, czy pod nazwą _dmarc domeny opublikowany jest rekord TXT z polityką DMARC. W takim rekordzie właściciel domeny mówi odbiorcom, co zrobić z wiadomością, która podaje jego domenę jako nadawcę, ale nie przeszła uwierzytelnienia, i dokąd wysyłać raporty. Pomiar stwierdza obecność rekordu, a nie siłę polityki. DMARC uwierzytelnia domenę z pola From, wymagając, by była zgodna (wyrównana) z identyfikatorem uwierzytelnionym przez SPF lub DKIM ^[1].

Jak działa

Pole From jest tym, które programy pocztowe pokazują użytkownikowi jako nadawcę, dlatego jest głównym celem nadużyć ^[1]. SPF uwierzytelnia jednak domenę z polecenia MAIL FROM albo HELO sesji SMTP ^[4], a DKIM pozwala domenie przyjąć odpowiedzialność za wiadomość przez podpis kryptograficzny, którego klucz publiczny odbiorca pobiera z DNS domeny podpisującej ^[5]. Ważny podpis może pochodzić z dowolnej domeny, także atakującego, więc sam podpis nie dowodzi autentyczności nadawcy z pola From ^[1].

Odbiorca musi zapytać DNS o rekord TXT DMARC dla domeny z pola From, a gdy go nie znajdzie — dla domeny organizacyjnej ^[1]. Pierwszym tagiem rekordu musi być v=DMARC1 ^[1]. Wiadomość przechodzi DMARC, jeśli co najmniej jeden mechanizm daje wynik pass dla identyfikatora wyrównanego z domeną From ^[1]. Tagi adkim i aspf wybierają tryb ścisły albo swobodny; w swobodnym wystarczy, że obie domeny mają tę samą domenę organizacyjną ^[1].

RYS. 1.1Sprawdzenie DMARC i raport

Tag p określa politykę. Wartość none oznacza, że właściciel nie prosi o żadne działanie; quarantine — że wiadomość, która nie przejdzie DMARC, ma być traktowana jako podejrzana, np. trafić do spamu albo zostać oznaczona; reject — że ma zostać odrzucona ^[1]. Tag sp ustala politykę dla subdomen, a pct odsetek wiadomości, do których polityka ma być stosowana ^[1]. Tag rua wskazuje adresy raportów zbiorczych, ruf — raportów o pojedynczych porażkach, a ri odstęp między raportami zbiorczymi, domyślnie 86400 sekund ^[1]. Odbiorca powinien starać się stosować politykę, ale wolno mu od niej odstąpić ^[1].

RYS. 1.2Decyzja odbiorcy wg DMARC

Standardy i specyfikacje

• RFC 7489 (marzec 2015) opisuje DMARC: wyrównanie, politykę, wyszukiwanie rekordu i raporty. Dokument ma status informacyjny i nie należy do ścieżki standardów ^[1].
• DMARCbis, czyli projekt grupy roboczej IETF, został w maju 2026 r. opublikowany jako RFC 9989 o statusie Proposed Standard; zastępuje RFC 7489 i RFC 9091 ^[2]. Usuwa tag pct i zamiast samej listy sufiksów publicznych wprowadza wyszukiwanie domeny organizacyjnej przez przejście drzewa DNS ^[2]. Dodaje flagę testową t=y i stanowi, że przy p=none odbiorcy nie mogą zmieniać dotychczasowej obsługi poczty ^[3].
• RFC 7208 i RFC 6376 definiują SPF i DKIM, na których wynikach opiera się DMARC ^{[4] [5]}.
• Google od 1 lutego 2024 r. wymaga od nadawców ponad 5000 wiadomości dziennie do kont Gmail DMARC oraz wyrównania domeny From z domeną SPF albo DKIM; polityka może mieć wartość none ^[6]. Yahoo wymaga od nadawców masowych ważnej polityki co najmniej p=none i wyniku pass DMARC ^[7].
• CISA BOD 18-01 z 16 października 2017 r. nakazała agencjom federalnym USA w ciągu 90 dni publikację SPF i DMARC co najmniej z p=none i adresem raportów, a w ciągu roku — politykę reject ^[8].
• Ustawa o zwalczaniu nadużyć w komunikacji elektronicznej wymusza na dostawcach poczty dla co najmniej 500 000 użytkowników albo dla podmiotu publicznego stosowanie SPF, DMARC i DKIM ^[10].

Zagrożenia i skutki

Brak rekordu. Gdy odbiorca nie znajdzie rekordu, nie powinien stosować mechanizmu DMARC ^[1]. O losie podszytej wiadomości decydują wtedy osobne wyniki SPF i DKIM oraz lokalne reguły odbiorcy, a SPF samodzielnie nie sprawdza pola From widocznego w programie pocztowym ^[9].

Dlaczego p=none nie chroni. Według RFC 7489 polityka none służy zbieraniu raportów bez wpływu na dotychczasową obsługę poczty ^[1], a RFC 9989 nazywa taki stan trybem monitorowania, w którym właściciel nie wyraża preferencji co do wiadomości niespełniających DMARC ^[3]. CISA wprost zaznacza, że p=none nie opóźnia ani nie zatrzymuje doręczenia nieuwierzytelnionej poczty i powinien być stanem przejściowym; dopiero reject całkowicie blokuje jej doręczenie ^[8]. Wymagania Google i Yahoo akceptują p=none ^{[6] [7]}, więc spełnienie ich nie oznacza, że domena jest chroniona przed podszyciem. CERT Polska rekomenduje quarantine albo reject z włączonymi raportami ^[9].

Granice mechanizmu. DMARC nie rozwiązuje wszystkich problemów z fałszywą pocztą: nie obejmuje domen łudząco podobnych ani nadużyć nazwy wyświetlanej przy adresie ^[1].

Subdomeny i odstępstwa. Polityka sp może złagodzić ochronę subdomen względem domeny głównej ^[1], a odbiorca może z własnych powodów nie zastosować polityki ^[1].

Przykłady

Rekord w _dmarc	Wiadomość bez wyrównanego wyniku pass	Uwagi
brak rekordu	DMARC nie jest stosowany [1]	decydują SPF, DKIM i reguły lokalne
v=DMARC1; p=none; rua=mailto:…	obsługa bez zmian [3]	tylko raporty [1]
v=DMARC1; p=quarantine	spam, dokładniejsza kontrola lub oznaczenie [1]	rekomendowane minimum [9]
v=DMARC1; p=reject	odrzucenie [1]	cel BOD 18-01 [8]
v=DMARC1; p=reject; sp=none	domena odrzuca, subdomeny bez działania [1]	słabsze subdomeny
v=DMARC1; p=reject; pct=20	polityka dla części wiadomości [1]	tag usunięty w RFC 9989 [2]
v=DMARC1; p=reject; adkim=s; aspf=s w domenie bez poczty	odrzucenie [1]	razem z v=spf1 -all [9]