Der Weg zu p=reject
DMARC legt fest, was Empfänger mit Mails tun, die weder SPF noch DKIM bestehen. Wer sofort mit p=reject startet, verliert legitime Mails, die von noch nicht erfassten Diensten kommen. Der sichere Weg: p=none mit Berichtsadresse, vier bis acht Wochen Berichte lesen und alle Versender bei SPF und DKIM nachziehen, dann p=quarantine, gern zunächst mit pct=25, zuletzt p=reject mit pct=100.
Die Tags im Einzelnen
Der Generator setzt nur Tags, die du ausgewählt hast, und lässt Standardwerte weg:
- p: Policy für die Domain, none, quarantine oder reject. Pflicht.
- sp: Policy für Subdomains, falls sie abweichen soll. Ohne sp gilt p auch für Subdomains.
- pct: Anteil der Mails, auf den quarantine oder reject angewendet wird. Für die Einführung, am Ende 100.
- rua: Adresse für aggregierte Berichte (XML, einmal täglich je Empfänger). Ohne rua siehst du nicht, wer im Namen der Domain sendet.
- ruf: Adresse für forensische Einzelberichte. Von den meisten großen Empfängern nicht mehr unterstützt, optional.
- adkim und aspf: Alignment relaxed (r) oder strict (s). relaxed erlaubt Subdomains, strict verlangt exakt die Absenderdomain.
Berichte an eine fremde Domain
Soll rua auf eine Adresse in einer anderen Domain zeigen, etwa einen Report-Dienst, muss diese Domain den Empfang erlauben: ein TXT-Record unter deine-domain.de._report._dmarc.andere-domain.de mit dem Wert v=DMARC1. Report-Dienste legen diesen Eintrag selbst an und nennen dir die genaue Adresse.
Eintragen und prüfen
Den Wert als TXT-Record unter dem Namen _dmarc eintragen (bei manchen Hostern _dmarc.deine-domain.de). Genau ein DMARC-Record je Domain. Danach mit dem DMARC Checker prüfen, ob der Record gefunden wird und die Policy wie gewünscht gelesen wird.
Häufige Fragen
- Muss ich vorher SPF und DKIM einrichten?
- Mindestens eines von beiden muss mit der Absenderdomain übereinstimmen, sonst scheitert jede Mail an DMARC. Empfohlen sind beide, weil SPF bei Weiterleitungen bricht.
- Kann ich mehrere rua-Adressen angeben?
- Ja, durch Komma getrennt, jede mit mailto:. Der Generator übernimmt die Trennung.
- Was passiert bei p=none?
- Nichts an der Zustellung, du erhältst nur Berichte. Deshalb ist p=none der Startpunkt, aber kein Dauerzustand.