SPF ve DKIM tek başlarına eksiktir: ikisi de "bu ileti doğrulandı mı" sorusunu yanıtlar, ancak "doğrulanmadıysa ne yapayım" sorusunu yanıtlamaz. DMARC tam olarak bu boşluğu doldurur.
DMARC ne yapar?
- SPF veya DKIM doğrulamasının, iletinin görünen gönderen adresiyle (
Frombaşlığı) hizalı olmasını şart koşar. - Hizalama başarısızsa alıcıya ne yapması gerektiğini söyler.
- Kimin alan adınız adına gönderim yaptığını gösteren raporları size gönderir.
Politika seviyeleri
- p=none: Hiçbir ileti engellenmez, yalnızca rapor toplanır. Başlangıç noktasıdır, varış noktası değildir.
- p=quarantine: Doğrulanamayan iletiler spam klasörüne düşer.
- p=reject: Doğrulanamayan iletiler hiç teslim edilmez. Hedeflenmesi gereken seviyedir.
Doğru geçiş sırası
_dmarc.ornek.com TXT "v=DMARC1; p=none; rua=mailto:dmarc@ornek.com; fo=1"Bu kayıtla başlayın ve en az iki hafta rapor toplayın. Raporlarda meşru gönderim kaynaklarınızın (CRM, fatura sistemi, pazarlama aracı) hepsinin hizalı geçtiğini doğrulayın. Ardından p=quarantine; pct=25 ile kademeli geçin, sonunda p=reject yapın.
Bu adımları atlayıp doğrudan reject'e geçmek, kendi meşru e-postalarınızın teslim edilmemesine yol açabilir.
Alt alan adlarını unutmayın
sp= etiketi alt alan adları için politikayı belirler. Tanımlamazsanız ana politika geçerli olur; ancak sp=none yazmak saldırganlara fatura.ornek.com gibi var olmayan bir alt alan adından gönderim yapma kapısı açar. sp=reject önerilir.
Neden artık pratikte zorunlu?
Google ve Yahoo, 2024 itibarıyla günde 5.000'den fazla e-posta gönderen alan adlarında DMARC kaydı arıyor. Kurumsal alan adları için DMARC artık tercih değil, gerekliliktir.