Co to jest DMARC i dlaczego warto go skonfigurować dla swojej domeny?

DMARC (Domain-based Message Authentication, Reporting, and Conformance) to twardy protokół uwierzytelniania poczty e-mail, który technicznie chroni Twoją domenę przed wykorzystaniem jej do wysyłania spamu i phishingu przez oszustów. Warto go skonfigurować, bo drastycznie podnosi to dostarczalność legalnych wiadomości do skrzynek odbiorców i daje administratorom pełną kontrolę nad tym, kto ma prawo wysyłać maile w imieniu danej firmy.

Dlaczego wdrożenie DMARC ratuje dostarczalność maili?

Zmieniliśmy te zasady na robocie pod koniec zeszłego roku. Kiedy Google i Yahoo ogłosiły nowe, restrykcyjne wymogi dla masowych nadawców, skrzynki odbiorcze zaczęły po prostu masowo odrzucać ruch z domen pozbawionych odpowiednich rekordów DNS. DMARC nie jest opcją dla dużych korporacji. To absolutna podstawa dla każdego, kto wysyła z domeny cokolwiek poza wewnętrznymi życzeniami świątecznymi. Prawda jest zresztą absolutnie taka, że bez spięcia tego protokołu z SPF i DKIM, Twoje maile marketingowe lądują w spamie u blisko połowy odbiorców.

Wysyłanie poczty bez weryfikacji nadawcy przypomina wysyłanie listu poleconego bez adresu zwrotnego i pieczątki. Serwer pocztowy po drugiej stronie patrzy na taką paczkę danych i natychmiast klasyfikuje ją jako zagrożenie. Uruchomienie DMARC daje serwerom odbierającym jasną instrukcję.

• Wymusza dokładne sprawdzanie zgodności domen (alignment) pomiędzy adresem widocznym w polu „Od” a technicznym adresem wysyłkowym zaszytym w nagłówkach Return-Path, co eliminuje większość prymitywnych prób podszywania się pod markę. Oszuści zazwyczaj używają własnych serwerów do wysyłki, podmieniając jedynie widoczny adres e-mail. DMARC wychwytuje tę rozbieżność i natychmiast ubija takie połączenie na poziomie bramki antyspamowej.
• Blokuje spoofing.
• Pozwala na wdrożenie standardu BIMI, który wyświetla oficjalne logo Twojej firmy tuż obok wiadomości w skrzynce klienta.
• Generuje codzienne raporty XML o ruchu pocztowym.

Widać tu wyraźną asymetrię. Z jednej strony mamy potężne filtry antyspamowe gigantów technologicznych. Z drugiej strony stoją administratorzy lokalnych serwerów, którzy zapominają o dodaniu jednego wpisu tekstowego w panelu rejestratora. Efekt to zablokowane kampanie sprzedażowe. Zablokowane faktury.

Jak dokładnie działa DMARC w praktyce?

DMARC nie istnieje w próżni informacyjnej. Ten protokół to nakładka, która spina ze sobą dwa starsze standardy: SPF (Sender Policy Framework) oraz DKIM (DomainKeys Identified Mail). Żeby mechanizm zadziałał, wiadomość musi przejść pozytywnie weryfikację przynajmniej jednej z tych dwóch metod. U nas na wdrożeniach często widzimy, że klienci próbują konfigurować DMARC przed uporządkowaniem SPF. To kończy się katastrofą.

Mechanizm działania opiera się na politykach. Ty, jako właściciel domeny, publikujesz w systemie DNS prosty rekord tekstowy. Kiedy serwer odbiorcy (na przykład Gmail) odbiera maila rzekomo od Ciebie, sprawdza ten rekord. Jeśli wiadomość oblewa testy SPF i DKIM, serwer odbiorcy patrzy na Twoją politykę DMARC i pyta: co mam z tym śmieciem zrobić?

(Zresztą pamiętam dobrze wdrożenie w jednym z biurowców na warszawskim Mokotowie. Trzecia nad ranem, we wtorek. Zmęczony junior z zespołu marketingu przypadkowo usunął główny rekord TXT podczas przepinania subdomen pod nowy landing page. Rano cała komunikacja transakcyjna sklepu stanęła dęba. Serwery odrzucały ruch, bo DMARC nagle przestał widzieć poprawne klucze kryptograficzne DKIM. Straciliśmy wtedy bez mała kilkadziesiąt tysięcy złotych na porzuconych koszykach, zanim zorientowałem się, że brakuje jednego durnego wpisu w Cloudflare. To uczy pokory do systemów uwierzytelniania. Nie ma tu miejsca na pomyłki w składni).  

Jakie są polityki DMARC do wyboru?

Wybór polityki to najważniejsza decyzja biznesowa w tym procesie. Sugeruję zaczynać powoli. Zbyt agresywne podejście na starcie zablokuje Twoją własną, legalną pocztę wysyłaną z systemów CRM lub narzędzi do fakturowania, o których zapomniałeś.

Dobrym pomysłem jest pozostawienie polityki p=none przez pierwsze kilka tygodni. Zbierasz wtedy dane. Analizujesz raporty. Szukasz systemów wewnątrz firmy, które wysyłają maile bez poprawnych podpisów. Dopiero gdy masz pewność, że autoryzujesz wszystko, podnosisz rygor.

Czy brak rekordu DMARC to gwarantowane problemy z phishingiem?

Zdecydowana większość ataków na firmy zaczyna się od maila. Jeżeli Twoja domena nie ma polityki odrzucania (reject), każdy dzieciak z dostępem do prostego skryptu PHP może wysłać wiadomość do Twoich klientów, podając się za Twojego dyrektora finansowego. To jest bez mała najgorsza opcja z wszystkich dostępnych na rynku IT.

Chociaż prawdę mówiąc brakuje nam twardych danych za wczoraj, więc wydaje się to tylko jedną z możliwych hipotez na najbliższy kwartał przed spowolnieniem rynku, to trend jest jasny. Cyberprzestępcy masowo skanują strefy DNS w poszukiwaniu domen bez zabezpieczeń. Traktują je jak darmową infrastrukturę do rozsyłania złośliwego oprogramowania.

Zastanawiacie się zresztą, dlaczego to na produkcji tak wyje na testach po drodze? Sam się nad tym borykałem dzisiaj u siebie. Systemy pocztowe widzą brak DMARC jako sygnał braku higieny cyfrowej. Twój wskaźnik reputacji domeny spada. Kiedy reputacja spada, Twoje newslettery zaczynają trafiać do spamu, nawet jeśli wysyłasz je do osób, które wyraziły na to zgodę. Algorytmy Google są tu bezlitosne.

Jak krok po kroku dodać rekord DMARC do DNS?

Konfiguracja wymaga dostępu do panelu zarządzania domeną (tam, gdzie opłacasz abonament za adres internetowy). Zmieniasz te zasady na robocie, wprowadzając nowy wpis tekstowy. Musisz uważać na literówki.

Najpierw weryfikujesz obecny stan SPF. Rekord SPF to zwykła lista serwerów uprawnionych do wysyłki. Następnie sprawdzasz DKIM, który dodaje kryptograficzny podpis do każdego maila. Kiedy te dwa elementy są zielone, przechodzisz do DMARC.

• Logujesz się do panelu administratora DNS.
• Tworzysz nowy rekord typu TXT.
• W polu nazwy hosta wpisujesz dokładnie _dmarc (co po połączeniu z domeną daje np. _dmarc.twojastrona.pl).
• W polu wartości wklejasz odpowiedni ciąg znaków, na przykład: v=DMARC1; p=none; rua=mailto:[email protected];

Zapisujesz zmiany. Propagacja DNS może potrwać od kilku minut do kilkunastu godzin. W tym czasie serwery na świecie aktualizują swoje tabele routingu. Po tym czasie zaczniesz otrzymywać pierwsze raporty na wskazany adres e-mail.

Dlaczego raportowanie DMARC (RUA i RUF) sprawia tyle problemów?

To jest ten moment, kiedy większość administratorów łapie się za głowę. DMARC generuje raporty w formacie XML. Zrzuca je na Twoją skrzynkę mailową codziennie. Jeśli wysyłasz dużo poczty, dostaniesz setki plików XML, których człowiek nie jest w stanie czytać przy porannej kawie. FRUSTRACJA z tym związana jest ogromna.

Raporty RUA (Aggregate Reports) zawierają statystyki. Informują o adresach IP, które próbowały wysłać maile w imieniu Twojej domeny, oraz o tym, czy przeszły weryfikację. Z kolei raporty RUF (Forensic Reports) zawierają fragmenty konkretnych wiadomości, które oblały test. Z uwagi na kwestie prywatności RODO, wielu dostawców poczty (w tym Google) przestało wysyłać raporty RUF.

Rozwiązanie tego bałaganu jest jedno. Musisz podpiąć dedykowane narzędzie analityczne. Zewnętrzny serwis, który odbierze te pliki XML, przetrawi je i wypluje czytelny wykres. Bez tego analiza ruchu pocztowego przypomina szukanie igły w stogu siana po omacku. Widzisz adresy IP z Chin, Rosji i Brazylii. Wiesz, że ktoś próbuje podszyć się pod Twój sklep. Masz twardy dowód.

Limity DNS i problemy z przekierowaniami poczty

Wdrożenia często wykładają się na technicznych detalach u podstaw. SPF ma twardy limit maksymalnie dziesięciu zapytań DNS (DNS lookups). Jeśli dodasz do rekordu SPF system do mailingu, system CRM, bramkę fakturową i obsługę klienta z Zendesk, szybko przekroczysz ten limit. Skutek? SPF zwraca błąd „PermError”. DMARC to widzi i odrzuca legalną pocztę.

Drugi poważny problem to automatyczne przekierowania maili (forwarding). Kiedy klient ma ustawione przekierowanie ze starego adresu na nowy, serwer pośredniczący często zmienia nagłówki wiadomości. To psuje weryfikację SPF. Z tego powodu tak mocno opieramy się na podpisach DKIM. Podpis kryptograficzny zazwyczaj przetrwa proces przekierowania bez szwanku. Jeżeli DKIM ocaleje, DMARC przepuści wiadomość, nawet jeśli SPF się wywróci.

Wymaga to od inżynierów weryfikacji rotacji kluczy. Klucze DKIM powinno się wymieniać co kilka miesięcy. Stare klucze o długości 1024 bitów są już podatne na ataki brute-force. Obecny standard to minimum 2048 bitów. To są detale o których dostawcy hostingu rzadko informują małe firmy przy zakupie domeny.

Zagrożenia płynące z ignorowania uwierzytelniania

Oszuści wykorzystują zjawisko zwane „Look-alike domains” lub bezpośredni „Exact-domain spoofing”. W tym drugim przypadku atakujący nie rejestruje podobnej nazwy. Używa dokładnie Twojej nazwy w polu „From”. Dla pracownika działu księgowości mail wygląda autentycznie. Prośba o zmianę numeru konta bankowego kontrahenta przechodzi bez echa. Pieniądze znikają bezpowrotnie.

DMARC z polityką p=reject zamyka ten wektor ataku całkowicie. Serwer pocztowy widzi fałszywego maila, sprawdza brak podpisu DKIM z Twojego prywatnego serwera i zrzuca połączenie do kosza. Odbiorca w ogóle nie dowiaduje się o próbie ataku. System załatwia to w tle na poziomie komunikacji między maszynami.

Zaloguj się teraz do panelu swojego dostawcy domeny. Sprawdź zakładkę zarządzania strefą DNS. Jeśli nie widzisz tam rekordu zaczynającego się od `v=DMARC1`, Twoja infrastruktura pocztowa jest dziurawa i całkowicie bezbronna wobec najprostszych ataków z zewnątrz. Czas to naprawić.

Często zadawane pytania (FAQ)

• Co to jest DMARC i do czego służy?
  DMARC to protokół weryfikacji poczty e-mail. Chroni domenę przed phishingiem i spoofingiem, pozwalając właścicielowi decydować, co serwery mają zrobić z nieautoryzowanymi wiadomościami wysyłanymi w jego imieniu.
• Czy DMARC wymaga wcześniejszej konfiguracji SPF i DKIM?
  Tak. DMARC opiera swoje działanie na wynikach weryfikacji protokołów SPF oraz DKIM. Bez ich poprawnego wdrożenia DMARC odrzuci legalną pocztę.
• Jaka polityka DMARC jest bezpieczna na początek?
  Najlepiej rozpocząć wdrożenie od polityki p=none. Pozwala ona na monitorowanie ruchu pocztowego i zbieranie raportów bez ryzyka zablokowania prawdziwych wiadomości e-mail.
• Co oznacza błąd DMARC w Google Postmaster Tools?
  Oznacza to najczęściej brak zgodności (alignment) pomiędzy domeną w polu Od (From) a domeną używaną w podpisie DKIM lub rekordzie wysyłkowym SPF.
• Jak często należy przeglądać raporty RUA?
  Podczas początkowej fazy wdrożenia (przy polityce p=none) raporty należy analizować przynajmniej raz w tygodniu, korzystając z zewnętrznych analizatorów XML.
• Czy wdrożenie DMARC poprawia dostarczalność newsletterów?
  Zdecydowanie. Od 2024 roku najwięksi dostawcy poczty (Google, Yahoo) wymagają rekordu DMARC dla masowych nadawców. Jego brak skutkuje bezpośrednim kierowaniem wiadomości do folderu spam.

Źródła:

1. CERT Polska – https://cert.pl
2. NASK – https://nask.pl
3. Ministerstwo Cyfryzacji – https://www.gov.pl/web/cyfryzacja
4. Urząd Komunikacji Elektronicznej – https://uke.gov.pl
5. Główny Urząd Statystyczny – https://stat.gov.pl