DMARC: mitä vastaanottajien pitäisi tehdä huijausviesteille

Moduuli 4: Sähköpostin tietueet · Lukuaika: 10 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat selittää, miten DMARC yhdistää SPF:n ja DKIM:n, laatia toimivan DMARC-tietueen ja tiukentaa käytäntöä vaihe vaiheelta.

Keskeiset käsitteet: DMARC, _dmarc, v=DMARC1, käytäntö p=none / quarantine / reject, kohdistus (alignment), rua-raportit, sp= ja np=, testitila t=, yksi DMARC-tietue

Puuttuva pala

SPF (oppitunti 4.3) tarkistaa, miltä palvelimelta viesti tulee, mutta katsoo vain teknistä envelope-osoitetta. DKIM (oppitunti 4.4) tarkistaa allekirjoituksen, mutta se voi olla minkä tahansa verkkotunnuksen allekirjoitus. Huijari voi siis lähettää viestin, jossa lukee "Lähettäjä: info@example.com", joka läpäisee SPF:n siististi omalle verkkotunnukselleen ja on siististi allekirjoitettu omalla verkkotunnuksellaan.

DMARC (Domain-based Message Authentication, Reporting and Conformance) sulkee tämän kehän. Se kysyy yhden kysymyksen: kuuluuko onnistunut SPF- tai DKIM-tarkistus siihen verkkotunnukseen, jonka vastaanottaja näkee "Lähettäjä:"-osoitteessa? Tätä kutsutaan kohdistukseksi (alignment). Ja kerrot vastaanottajille, mitä heidän pitäisi tehdä, jos vastaus on ei.

DMARC kuvattiin vuonna 2015 RFC 7489:ssä. Toukokuussa 2026 julkaistiin tarkistettu versio virallisena internetstandardina: RFC 9989 (raporteille RFC 9990 ja 9991). Olemassa olevat v=DMARC1-tietueet pysyvät voimassa.

Miten vastaanottaja päättää

Kun viesti saapuu lähettäjältä info@example.com, vastaanottaja tekee näin:

1. SPF: tuleeko viesti sallitulta palvelimelta, ja kuuluuko envelope-verkkotunnus verkkotunnukseen example.com?
2. DKIM: onko kelvollinen allekirjoitus, ja kuuluuko allekirjoittava verkkotunnus (d=) verkkotunnukseen example.com?
3. DMARC: onnistuiko vähintään toinen näistä kahdesta ja onko se kohdistettu? Silloin viesti on kunnossa. Jos ei, vastaanottaja noudattaa asettamaasi käytäntöä.

Toinen kahdesta riittää. Siksi DKIM on niin tärkeä palveluille, jotka lähettävät omalla envelope-osoitteellaan, kuten monet uutiskirjepalvelut: niillä SPF onnistuu kyllä, mutta ei sinun verkkotunnuksellesi. Vain DKIM-allekirjoitus, jossa d=example.com, tekee silloin asian kuntoon.

"Kuuluu" tarkoittaa oletuksena samaa organisaatioverkkotunnusta. nieuws.example.com kuuluu verkkotunnukseen example.com. Tätä kutsutaan relaxed-kohdistukseksi. Asetuksella adkim=s tai aspf=s (strict) verkkotunnuksen täytyy olla täsmälleen sama. Lähes kaikille relaxed on sopiva valinta.

Miltä DMARC-tietue näyttää?

DMARC-tietue on TXT-tietue verkkotunnuksesi nimellä _dmarc:

_dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

Se koostuu osista (tageista), joiden välissä on puolipiste.

Käytännön valinta

Järkevä järjestys:

1. Ensin SPF ja DKIM kuntoon kaikille palveluille, jotka lähettävät sähköpostia puolestasi: sähköpostipalveluntarjoajasi, verkkosivustosi, uutiskirjepalvelusi, kirjanpito-ohjelmasi, verkkokauppasi.
2. Aloita asetuksella p=none ja rua-osoitteella. Katso muutaman viikon ajan raporteista, mitkä palvelut lähettävät sähköpostia verkkotunnuksesi puolesta ja onnistuvatko ne.
3. Siirry asetukseen p=quarantine, ja jos kaikki pysyy kunnossa, siirry asetukseen p=reject.

Jos epäilet, että kaikki palvelusi eivät ole kunnossa, älä siirry suoraan asetukseen reject. Unohdettu palvelu (esimerkiksi ohjelma, joka lähettää laskujasi) ei silloin enää mene perille.

Jotkin hosting-yritykset asettavat uuteen pakettiin heti tiukan DMARC-tietueen (p=reject). Se on turvallista niin kauan kuin kaikki sähköpostisi kulkee niiden palvelimien kautta. Jos alat lähettää sähköpostia myös muiden palvelujen kautta, tarkista ensin näiden palvelujen SPF ja DKIM.

Raportit

Asetuksella rua=mailto:dmarc@example.com saat suurilta vastaanottajilta päivittäin yhteenvedon (XML-tiedosto) siitä, kuka lähetti sähköpostia verkkotunnuksesi puolesta ja onnistuiko se. Hyödyllistä, mutta teknistä. Käytä siihen erillistä osoitetta; saat niitä nopeasti useita päivässä. On olemassa palveluja, jotka tekevät raporteista luettavia.

Jos lähetät raportit osoitteeseen toisessa verkkotunnuksessa (esimerkiksi raportointipalvelun), tämän toisen verkkotunnuksen täytyy antaa lupa DNS:ssään. Palvelu hoitaa sen yleensä itse.

Yleisiä virheitä

• Kaksi DMARC-tietuetta. Nimellä _dmarc saa olla vain yksi. Kahden tietueen tapauksessa vastaanottaja toimii kuin DMARC puuttuisi kokonaan. Muokkaa olemassa olevaa tietuetta.
• Väärässä nimessä. Tietueen pitää olla osoitteessa _dmarc.example.com, ei itse verkkotunnuksessa example.com.
• Kirjoitusvirheet tageissa. p=reject toimii, p=rejected tai policy=reject ei. Ilman kelvollista p=-arvoa tietue lasketaan asetukseksi p=none.
• DMARC:n käyttöönotto ennen kuin SPF ja DKIM ovat kunnossa. Silloin hylkäät oman sähköpostisi.
• Liian nopea tarkistus muutoksen jälkeen. DMARC-tietueella on joskus pitkä TTL (esimerkiksi neljä tuntia). Muutoksen jälkeen näet siis vielä hetken vanhan tietueen.

Miksi tällä on väliä

Helmikuusta 2024 lähtien Gmail ja Yahoo vaativat suurten sähköpostimäärien lähettäjiltä (yli noin 5 000 viestiä päivässä) DMARC-tietueen, vähintään asetuksella p=none, sekä sen, että SPF tai DKIM onnistuu kohdistettuna. Microsoft vaatii samaa toukokuusta 2025 lähtien Outlook.comissa ja Hotmailissa. Myös pienille lähettäjille DMARC parantaa toimitettavuutta ja suojaa asiakkaitasi nimissäsi lähetetyiltä väärennetyiltä laskuilta.

Käytännössä: näin se näyttää paneelissa

Tässä esimerkissä käytämme DirectAdminia. Kohdassa DNS Administration klikkaat kynäkuvaketta TXT-tietueen _dmarc perässä, tai luot uuden TXT-tietueen nimellä _dmarc ja valitset kohdassa TXT Record Type vaihtoehdon DMARC. Kohdassa Domain policy type valitset None, Quarantine tai Reject; kohtaan Aggregate Email (RUA) täytät halutessasi raportointiosoitteen. Oma WebOké sisältää vastaavan DMARC-avustajan DNS-välilehdellä.

Jos paneelissasi ei ole avustajaa, luot tavallisen TXT-tietueen nimellä _dmarc ja kirjoitat tekstin itse. Lopputulos on sama.

Yhteenveto

• DMARC tarkistaa, onnistuuko SPF tai DKIM "Lähettäjä:"-osoitteessa olevalle verkkotunnukselle (kohdistus).
• Tietue sijaitsee osoitteessa _dmarc.<verkkotunnus>, alkaa merkinnällä v=DMARC1 ja sisältää käytännön p=none, quarantine tai reject.
• Ensin SPF ja DKIM kaikille palveluille, sitten p=none raporttien kanssa, sitten tiukennus.
• Täsmälleen yksi DMARC-tietue per verkkotunnus.

Tietovisa

Tehtävä

Tehtävä Z4.5: DMARC:n etsiminen. Etsi verkkotunnuksen sidn.nl DMARC-tietue (tai oman verkkotunnuksesi). Liitä koko tietue ja kerro, mikä käytäntö (p=) siinä on.

Tehtävä O4.5: Asetukset itse harjoitusvyöhykkeessäsi. Harjoitusvyöhykkeessä lähetät raportit kiinteään harjoitusosoitteeseen; omassa verkkotunnuksessasi käytät omaa osoitettasi. Luo harjoitusvyöhykkeeseesi <code>.dnspractice.eu DMARC-tietue, jonka käytäntö on quarantine (tai none, jos haluat aloittaa seurannalla), raportit osoitteeseen dmarc@dnspractice.eu (rua=mailto:dmarc@dnspractice.eu).

Lue lisää

Näiden artikkelien vaiheet koskevat WebOkén paneeleja; muissa paneeleissa toiminta on vastaavaa.

• Mitä on DMARC? Selitys selkeällä kielellä
• DirectAdmin-ohje 5.9: DMARC-tietueen määrittäminen
• DMARC-tietue luominen DirectAdminissa
• WebOké-käyttöopas 5.5: DNS-apulaiset: MX, SPF, DMARC, CAA ja SRV
• Julkinen sähköpostitarkistus (SPF, DMARC, MX): https://www.weboke.fi/sahkopostin-tarkistus, ja internet.nl:n sähköpostitesti: https://internet.nl
• RFC 9989 (DMARC), RFC 9990 (raportit); historiallinen RFC 7489