DMARC- und TLS-RPT-Berichte
Mit rua=mailto:… im DMARC-Record schicken dir Empfänger wie Google, Microsoft und Yahoo täglich Aggregatberichte: welche Server im Namen der Domain gesendet haben, wie viele Nachrichten, ob DKIM und SPF passten und was der Empfänger mit den Nachrichten gemacht hat. Ohne diese Berichte ist ein Wechsel auf p=quarantine oder p=reject ein Blindflug – mit ihnen siehst du, welche legitimen Absender (Newsletter-Dienst, CRM, Shop) noch nicht sauber signieren.
DomainWarn stellt je Domain eine Berichtsadresse bereit (Domain → E-Mail → „DMARC- und TLS-RPT-Berichte“). Trage sie als rua und ruf in den DMARC-Record ein; die ersten Berichte kommen innerhalb eines Tages. Die Karte zeigt Nachrichten, Ausrichtungsquote, die gemeldete Policy, nicht ausgerichtete Nachrichten je Tag und jede Quelle mit DKIM-, SPF- und Ausrichtungsergebnis samt Verfügung. TLS-RPT-Berichte (_smtp._tls-Record mit derselben Adresse) zeigen, ob Absender deine Mailserver per TLS erreichen und woran Sitzungen scheitern.
Berichte lassen sich auch von Hand hochladen (XML, GZ, ZIP, JSON oder die ganze E-Mail), etwa aus einem bestehenden Postfach.
Der DMARC-Assistent auf der Unterseite DMARC nutzt diese Berichte für den Weg von p=none über quarantine zu reject (Voraussetzung etwa für BIMI). Er ordnet jede Quelle ein, rechnet Fälschungen ohne jede Authentifizierung aus dem legitimen Versand heraus und empfiehlt den nächsten Schritt erst, wenn genug Daten da sind (14 Tage mit Berichten vor dem ersten Schritt, 7 Tage seit jeder weiteren Änderung, mindestens 100 Nachrichten), mindestens 98 % des legitimen Versands DMARC bestehen und kein legitim wirkender Absender (etwa ein Newsletter-Dienst, der nur mit seiner eigenen Domain signiert) nennenswert durchfällt. Nutzt der Record pct, geht es in Stufen 25, 50 und 100 %; ein schwächeres sp zieht mit. Der vorgeschlagene Record ändert nur p, pct und sp, alle anderen Angaben bleiben. Mit verbundenem DNS-Anbieter setzt das Team ihn nach Vorschau und Bestätigung per Klick um (Schreibrecht nötig); DomainWarn ändert dabei genau den einen vorhandenen DMARC-Record und bricht ab, wenn er sich seit der Vorschau geändert hat. Fehlt die Berichtsadresse in rua, trägt der Assistent sie auf Wunsch als weiteres Ziel ein.
v=DMARC1; p=quarantine; rua=mailto:<TOKEN>@dmarc.domainwarn.com; ruf=mailto:<TOKEN>@dmarc.domainwarn.com