DMARCDNSEintrag

Ein DMARC-DNS-Eintrag ist eine DNS-TXT-Resource, die vom Inhaber einer Domäne veröffentlicht wird, um die DMARC-Policy zu definieren. DMARC steht für Domain-based Message Authentication, Reporting and Conformance und dient dazu, Phishing und Domain-Imitation zu reduzieren, indem es Domaininhabern ermöglicht, festzulegen, wie E-Mails behandelt werden sollen, die SPF- oder DKIM-Authentifizierung bestehen oder scheitern. Der Eintrag wird im DNS unter der Subdomain _dmarc.domain.tld publiziert; der Wert beginnt üblicherweise mit v=DMARC1 und enthält weitere Parameter wie p, rua und ruf sowie optionale Tags.

DMARC prüft eingehende Nachrichten in Verbindung mit SPF- und DKIM-Authentifizierung und der From-Domain-Ausrichtung (Alignment). Wenn eine Nachricht die Authentifizierung besteht und die Ausrichtung erfüllt, wird sie normalerweise wie gewohnt zugestellt. Scheitert sie, wendet der empfangende Mail-Server die im DMARC-Eintrag festgelegte Policy an – none (Berichte, keine Durchsetzung), quarantine (in Quarantäne verschieben) oder reject (ablehnen). Zusätzlich können Aggregat-Reports (rua) und Forensic-Reports (ruf) an angegebene E-Mail-Adressen gesendet werden, um Einblicke in Authentifizierungs-Ergebnisse zu erhalten.

Typische Tags in einem DMARC-DNS-Eintrag sind p (Policy für die Domain; none, quarantine, reject), sp (Policy für Subdomains), adkim und aspf (Alignment-Modi: s = strikt, r = locker), rua und ruf (Zieladressen für Berichte) sowie pct (Prozentsatz der Anwendung der Policy). Ein einfaches Beispiel lautet: v=DMARC1; p=quarantine; rua=mailto:[e-mail]; ruf=mailto:[e-mail]; adkim=s; aspf=s; pct=100. Hinweis: Forensic-Berichte können sensible Informationen enthalten; viele Provider unterstützen sie daher nicht standardmäßig. Einsteiger sollten zunächst p=none verwenden, um Berichte zu beobachten, bevor Policy-Upgrades erfolgen.