Raporty DMARC — jak je czytać, żeby nie były szumem

Po włączeniu DMARC z polityką p=none do skrzynki zaczynają przychodzić dzienne raporty zbiorcze od serwerów odbiorczych. To jedyne miejsce, w którym widać, kto naprawdę wysyła pocztę w imieniu Twojej domeny — łącznie z systemami, o których nikt w firmie nie pamiętał.

Problem polega na tym, że w surowej postaci są nieczytelne, więc większość wdrożeń kończy się na tym etapie: rekord jest, raporty przychodzą, nikt ich nie otwiera, polityka zostaje na p=none na zawsze.

Najpierw: nie czytaj tego ręcznie

Raporty to XML w archiwum ZIP albo GZIP, po jednym od każdego dużego dostawcy dziennie. Otwieranie ich w edytorze nie ma sensu.

Jest kilka darmowych narzędzi, które zamieniają je w czytelną tabelę — część działa jako usługa, do której przekierowuje się raporty, część jako program uruchamiany lokalnie. Wybór ma znaczenie tylko pod jednym względem: usługa zewnętrzna zobaczy, kto do Ciebie pisze i z kim korespondujesz. Przy wrażliwej korespondencji warto wybrać narzędzie działające lokalnie.

Co jest w raporcie

Dla każdego adresu IP wysyłającego pocztę z Twojej domeny raport podaje:

• ile wiadomości z niego przyszło,
• wynik SPF — czy adres miał prawo wysyłać,
• wynik DKIM — czy podpis się zgadzał,
• zgodność SPF i zgodność DKIM — i to jest najważniejsza część,
• co odbiorca z tym zrobił.

Rzecz, która myli wszystkich na początku

Kolumna „SPF: pass” nie znaczy, że wiadomość przeszła DMARC.

SPF sprawdza domenę z koperty wiadomości, a użytkownik widzi zupełnie inne pole: nagłówek From. DMARC wymaga, żeby domena widoczna dla człowieka zgadzała się z tą, która przeszła weryfikację. Jeżeli system wysyłkowy podstawia w kopercie własną domenę, SPF przejdzie, a zgodność — nie.

Dlatego przy czytaniu raportu patrzy się na kolumny zgodności, a nie na same wyniki. Wiadomość przechodzi DMARC, gdy zgodny jest SPF albo DKIM — wystarczy jedno z dwóch.

Trzy grupy, na które dzieli się każdy raport

1. Znane, zgodne — nic nie robisz

Twój serwer pocztowy, Twój dostawca. Rosnąca liczba wiadomości w tej grupie to dokładnie to, o co chodzi.

2. Znane, niezgodne — to jest cała robota

Adres należy do usługi, z której firma korzysta, ale wiadomości nie przechodzą. Typowo: system do faktur, narzędzie do ofert, formularz na stronie, monitoring, drukarka.

Rozwiązanie zależy od tego, co usługa umożliwia:

• Najlepiej: DKIM. Większość poważnych usług pozwala podpisywać wiadomości Twoją domeną — trzeba dodać jeden rekord selektora. Podpis DKIM przeżywa też przekazywanie wiadomości dalej, czego SPF nie robi.
• Gorzej, ale działa: dopisanie do SPF. Pamiętaj o limicie dziesięciu odwołań DNS — po czwartej czy piątej usłudze łatwo go przekroczyć, a wtedy SPF przestaje działać w całości.
• Czasem: zmiana adresu nadawcy na subdomenę przeznaczoną dla tej usługi.

3. Nieznane, niezgodne — zwykle nie jest tym, czym się wydaje

Odruch mówi „ktoś się podszywa”. Zanim wyciągniesz ten wniosek, sprawdź najpierw trzy najczęstsze wyjaśnienia:

Przekazywanie poczty. Ktoś ma ustawione przekazywanie na adres prywatny. Serwer przekazujący wysyła dalej z własnego adresu, więc SPF nie przechodzi — przechodzi za to DKIM, jeżeli jest poprawnie ustawiony. To najczęstszy powód „dziwnych” wpisów i nie jest usterką.

Usługa, o której nie wiedziałeś. Ktoś w firmie założył konto w narzędziu wysyłającym maile z adresu firmowego.

Automat pocztowy przy nieistniejącym odbiorcy.

Dopiero gdy to odpada — zostaje faktyczne podszywanie się. Wtedy widać zwykle wiele adresów IP z różnych krajów i duże liczby wiadomości.

Kiedy można iść dalej

Warunek przejścia z p=none na kwarantannę jest jeden: przez co najmniej tydzień w raportach nie pojawia się nic nieznanego i zgodnego z niczym.

Miesiąc obserwacji to minimum, bo procesy miesięczne — wysyłka faktur, raportów, przypomnień — pokażą się tylko raz.

Potem p=quarantine z parametrem pct=25 i podnoszenie: 25 → 50 → 100. Na końcu p=reject.

Co robić z raportami potem

Po dojściu do p=reject warto zostawić raporty włączone i zaglądać do nich raz na kwartał. Nowa usługa dodana przez kogoś w firmie pokaże się właśnie tam — jako wiadomości odrzucone, zanim ktoś zgłosi, że „faktury nie docierają”.

To najtańszy istniejący monitoring tego, kto wysyła pocztę w imieniu firmy.