Mikä on DMARC? Selitys arkikielellä

DMARC on verkkotunnuksesi asetus, joka kertoo vastaanottajille, mitä tehdä sähköpostille, joka näyttää tulevan verkkotunnuksestasi mutta ei oikeasti ole sinulta. Se suojaa sinua ja viestiesi vastaanottajia nimissäsi lähetetyiltä väärennetyiltä viesteiltä (spoofing ja phishing) ja auttaa oikeaa sähköpostiasi perille.

Lyhyesti

• DMARC on verkkotunnuksesi DNS:ssä oleva TXT-tietue, jonka nimi on _dmarc.
• Se perustuu kahteen muuhun tarkistukseen: SPF (mitkä palvelimet saavat lähettää postia verkkotunnuksesi nimissä) ja DKIM (digitaalinen allekirjoitus jokaisessa viestissä).
• DMARC-tietueessa valitset käytännön: ei toimenpiteitä, roskapostiin siirto tai hylkäys.
• Suuret sähköpostipalvelut, kuten Gmail, Outlook ja Yahoo, edellyttävät nykyään DMARC-tietuetta. Ilman DMARCia sähköpostisi päätyy useammin roskapostiin.

Miksi DMARC tarvitaan?

Kuka tahansa voi lähettää sähköpostia lähettäjällä, joka näyttää osoitteeltasi, esimerkiksi info@verkkotunnuksesi.fi. Vastaanottaja ei heti huomaa, että viesti on väärennös. Huijarit käyttävät tätä laskujen väärentämiseen tai salasanojen varastamiseen. DMARCin avulla näytät, mikä sähköposti on oikeasti sinulta, ja pyydät vastaanottajaa hylkäämään väärennetyt viestit tai siirtämään ne roskapostiin.

Miten se toimii?

Kun saapuvan viestin lähettäjänä on verkkotunnuksesi, vastaanottava postipalvelin tarkistaa kolme asiaa:

1. SPF: onko viesti lähetetty palvelimelta, joka on verkkotunnuksesi SPF-tietueessa?
2. DKIM: onko postipalvelimesi viestiin lisäämä digitaalinen allekirjoitus kunnossa?
3. DMARC: kuuluuko hyväksytty SPF- tai DKIM-tarkistus myös lähettäjän osoitteessa olevaan verkkotunnukseen? Jos kuuluu, viesti on kunnossa. Jos ei, vastaanottaja noudattaa DMARC-tietueesi käytäntöä.

Miltä DMARC-tietue näyttää?

DMARC-tietue on TXT-tietue osoitteessa _dmarc.verkkotunnuksesi.fi, esimerkiksi:

v=DMARC1; p=none; rua=mailto:dmarc@verkkotunnuksesi.fi

Suosituksemme: tiukenna vaihe vaiheelta

• Kulkeeko kaikki postisi WebOkén kautta? Silloin webhotellipaketissasi on jo DMARC-tietue, jossa on p=reject, ja SPF ja DKIM ovat automaattisesti kunnossa. Voit jättää sen sellaiseksi.
• Lähetätkö postia myös muiden palveluiden kautta, kuten Microsoft 365:n, Google Workspacen, uutiskirjepalvelun tai kirjanpito-ohjelmasi, tai teetkö itse uuden DMARC-tietueen? Aloita silloin asetuksella p=none ja raporttiosoitteella. Seuraa raportteja muutaman viikon ajan ja tarkista, läpäiseekö kaikki oma postisi tarkistuksen. Siirry sen jälkeen asetukseen p=quarantine ja, jos kaikki toimii, asetukseen p=reject.

Vuonna 2026 DMARC-standardi uudistettiin (RFC 9989). Nykyinen tietueesi toimii edelleen. Osa pct= (prosenttiosuus) poistuu uudesta standardista: älä käytä sitä, tai pidä sen arvona 100.

Tarkemmin DMARCin toiminnasta ja raporttien lukemisesta kerrotaan ilmaisen DNS-kurssin oppitunnissa DMARC: mitä vastaanottajien pitää tehdä väärennetylle postille.

Näin pääset alkuun

1. Varmista, että SPF on kunnossa. Jos lähetät postia myös muun palvelun kautta, kuten uutiskirjeohjelman tai Microsoft 365:n, lisää myös se SPF-tietueeseesi. Lue SPF-tietueen lisääminen tai muokkaaminen DirectAdminissa.
2. Varmista, että DKIM on käytössä. WebOkén webhotellipaketeissa DKIM on oletuksena käytössä palvelimiemme kautta kulkevalle postille.
3. Luo DMARC-tietue. Aloita asetuksella p=none ja raporttiosoitteella, siirry muutaman viikon kuluttua asetukseen p=quarantine ja sen jälkeen asetukseen p=reject. Tietueen luomisesta kerrotaan ohjeessa DMARC-tietueen luominen DirectAdminissa. Voit tehdä sen myös Oma WebOkéssa kohdassa Omat verkkotunnukset, DNS-välilehdellä.
4. Tarkista asetuksesi. Ilmaisella Verkkotunnuksen terveys -työkalullamme näet heti, ovatko SPF, DKIM ja DMARC kunnossa. Myös Internet.nl-tarkistuslista auttaa sinua eteenpäin.

Usein kysytyt kysymykset

Hylätäänkö oma sähköpostini, jos otan DMARCin käyttöön?

Ei, jos SPF ja DKIM ovat kunnossa. Jos lähetät postia palvelun kautta, joka ei ole SPF-tietueessasi eikä allekirjoita viestejä verkkotunnuksellasi, viesti voi asetuksella p=quarantine tai p=reject päätyä roskapostiin tai tulla hylätyksi. Aloita siksi asetuksella p=none ja katso raporteista, kuka lähettää postia verkkotunnuksesi nimissä. Webhotellipaketeissa tietueen oletuksena on p=reject: jos lähetät postia myös muun palvelun kautta, vaihda asetukseksi tilapäisesti p=none, kunnes palvelu on kunnolla SPF:ssä ja DKIM:ssä.

Pitääkö minun antaa raporttiosoite?

Ei tarvitse. Raportit ovat teknisiä ja hyödyllisiä lähinnä silloin, kun haluat tietää, mitkä palvelut lähettävät postia verkkotunnuksesi nimissä. Käytä niille mieluiten erillistä osoitetta, sillä voit saada niitä päivittäin useita. Raportin lukemisesta kerrotaan ohjeessa DMARC-raportin lukeminen.

Käytän Microsoft 365:tä tai Google Workspacea. Toimiiko DMARC silloinkin?

Toimii. Lisää palvelu SPF-tietueeseesi, ota DKIM käyttöön palvelussa ja luo sen jälkeen DMARC-tietue WebOkéssa tai muokkaa nykyistä. Järjestyksellä on merkitystä: ensin SPF ja DKIM, sitten DMARC. Aloita tässäkin asetuksella p=none ja etene vaihe vaiheelta asetukseen p=reject.

Onko teillä valmis DMARC-tietue minulle?

On. Webhotellipaketissa sellainen on jo oletuksena: v=DMARC1;p=reject. Jos teet tietueen itse, esimerkiksi verkkotunnukselle ilman webhotellipakettia, aloita tietueella v=DMARC1; p=none; rua=mailto:dmarc@verkkotunnuksesi.fi ja tiukenna sitä vaihe vaiheelta. Jos et pääse eteenpäin, lähetä meille viesti: autamme mielellämme.

Laajempi ohje kuvakaappauksineen: DMARCin määrittäminen DirectAdmin-käyttöohjeessa.